Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Schedule] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\IXP000.TMP\789.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmic.exe' process call create "At 12:00%TEMP%\IXP000.TMP\789.exe"
- '<SYSTEM32>\wbem\wmic.exe' process call create "At 21:00%TEMP%\IXP000.TMP\789.exe"
- '<SYSTEM32>\sc.exe' start schedule
- '<SYSTEM32>\net1.exe' stop sharedaccess
- '<SYSTEM32>\wbem\wmic.exe' process call create "At 23:00%TEMP%\IXP000.TMP\789.exe"
- '<SYSTEM32>\wbem\wmic.exe' process call create "At 24:00%TEMP%\IXP000.TMP\789.exe"
- '<SYSTEM32>\wbem\wmic.exe' process call create "At 20:00%TEMP%\IXP000.TMP\789.exe"
- '<SYSTEM32>\wbem\wmic.exe' process call create "At 22:00%TEMP%\IXP000.TMP\789.exe"
- '<SYSTEM32>\cmd.exe' /c %TEMP%\IXP000.TMP\3.bat
- '<SYSTEM32>\cmd.exe' /c %TEMP%\IXP000.TMP\4.bat
- '<SYSTEM32>\cmd.exe' /c %TEMP%\IXP000.TMP\1.bat
- '<SYSTEM32>\cmd.exe' /c %TEMP%\IXP000.TMP\2.bat
- '<SYSTEM32>\cmd.exe' /c %TEMP%\IXP000.TMP\6.bat
- '<SYSTEM32>\net.exe' stop sharedaccess
- '<SYSTEM32>\sc.exe' config schedule start= auto
- '<SYSTEM32>\cmd.exe' /c %TEMP%\IXP000.TMP\5.bat
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmp8.tmp
- %TEMP%\tmp9.tmp
- %TEMP%\tmp7.tmp
- %TEMP%\tmp5.tmp
- %TEMP%\tmp6.tmp
- %TEMP%\tmpC.tmp
- %TEMP%\tmpB.tmp
- <SYSTEM32>\xtxx.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ip2city[1].asp
- %TEMP%\tmpA.tmp
- %TEMP%\tmp4.tmp
- %TEMP%\IXP000.TMP\3.bat
- %TEMP%\IXP000.TMP\4.bat
- %TEMP%\IXP000.TMP\2.bat
- %TEMP%\IXP000.TMP\789.exe
- %TEMP%\IXP000.TMP\1.bat
- %TEMP%\tmp2.tmp
- %TEMP%\tmp3.tmp
- %TEMP%\tmp1.tmp
- %TEMP%\IXP000.TMP\5.bat
- %TEMP%\IXP000.TMP\6.bat
Удаляет следующие файлы:
- %TEMP%\IXP000.TMP\6.bat
- %TEMP%\tmpC.tmp
- %TEMP%\tmp6.tmp
- %TEMP%\IXP000.TMP\5.bat
- %TEMP%\tmpB.tmp
- %TEMP%\tmp9.tmp
- %TEMP%\tmp8.tmp
- %TEMP%\tmp7.tmp
- %TEMP%\tmpA.tmp
- %TEMP%\IXP000.TMP\4.bat
- %TEMP%\tmp3.tmp
- %TEMP%\tmp4.tmp
- %TEMP%\tmp1.tmp
- %TEMP%\tmp2.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ip2city[1].asp
- %TEMP%\IXP000.TMP\2.bat
- %TEMP%\IXP000.TMP\3.bat
- %TEMP%\tmp5.tmp
- %TEMP%\IXP000.TMP\1.bat
Сетевая активность:
Подключается к:
- '11#.#84.128.146':9033
- 'www.ip##8.com':80
TCP:
Запросы HTTP GET:
- www.ip##8.com/ip2city.asp
UDP:
- DNS ASK www.ip##8.com
