Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\WinHelp32] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Vwxyab Defghijk Mno] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\WinHelp32.exe'
- '%TEMP%\Install.exe'
- '%TEMP%\Vnopqrstu_NET.exe'
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' -k imgsvc
- '<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\hfblddel.bat" "
- '<SYSTEM32>\svchost.exe' -k netsvcs
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Internet Explorer\WinHelp32.exe
- <SYSTEM32>\hfblddel.bat
- %PROGRAM_FILES%\Bwxy\Gwxyabcde.gif
- C:\system32.txt
- %TEMP%\Install.exe
- %TEMP%\Vnopqrstu_NET.exe
- C:\WinWall32.gif
- C:\3051000.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %PROGRAM_FILES%\Bwxy\Gwxyabcde.gif
- %PROGRAM_FILES%\Internet Explorer\WinHelp32.exe
Удаляет следующие файлы:
- %TEMP%\Vnopqrstu_NET.exe
- C:\3051000.dll
- C:\WinWall32.gif
- C:\system32.txt
- %TEMP%\Install.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'any':8899
- 'he#####ixi.f3322.org':8899
UDP:
- DNS ASK bi#####okk.f3322.org
- DNS ASK he#####ixi.f3322.org
