Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WinVNC' = '"%PROGRAM_FILES%\NetworkStreaming\Customer\winvnc.exe" -servicehelper'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\ntwkstrm] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\NetworkStreaming\Customer\winvnc.exe' -service
- '%PROGRAM_FILES%\NetworkStreaming\Customer\winvnc.exe' -servicehelper
- '%PROGRAM_FILES%\NetworkStreaming\Customer\winvnc.exe' -kill
- '%PROGRAM_FILES%\NetworkStreaming\Customer\winvnc.exe' -reinstall
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\NetworkStreaming\Customer\winvnc.exe
- %PROGRAM_FILES%\NetworkStreaming\Customer\engineer.lic
- %PROGRAM_FILES%\NetworkStreaming\Customer\vnchooks.dll
- %PROGRAM_FILES%\NetworkStreaming\Customer\uninst.exe
- %TEMP%\nsn3.tmp\UserInfo.dll
- %PROGRAM_FILES%\NetworkStreaming\Customer\copyright.txt
- %TEMP%\nsn3.tmp\System.dll
- %TEMP%\nsh2.tmp
- %TEMP%\spltmp.bmp
- %PROGRAM_FILES%\NetworkStreaming\Customer\ns.ini
- %TEMP%\nsn3.tmp\nssplash.dll
Удаляет следующие файлы:
- %TEMP%\nsn3.tmp\nssplash.dll
- %TEMP%\spltmp.bmp
Сетевая активность:
Подключается к:
- 'he###.cevado.com':443
- 'localhost':5900
UDP:
- DNS ASK he###.cevado.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'WinVNC Tray Icon' WindowName: '(null)'
