Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Inoyikotadoqev' = 'rundll32.exe "%WINDIR%\msfgv2.dll",Startup'
- [<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\ibcrjqweexnsmiq] 'Name' = '%TEMP%\5.tmp'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\Free.Movie.License2.exe'
- '%TEMP%\Free.Movie.License3.exe'
- '%TEMP%\Free.Movie.License1.exe'
- '%APPDATA%\Free Movie License.exe'
- '%TEMP%\7za.exe' x "%TEMP%\a1.7z" -aoa -o%HOMEPATH%\Local Settings\Temp -p~@S23js@@vBz99432@t9 "" ""
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\d.bat" "
- '<SYSTEM32>\ping.exe' -n 1 localhost
- '<SYSTEM32>\rundll32.exe' "%WINDIR%\msfgv2.dll",iep
- '<SYSTEM32>\rundll32.exe' "%WINDIR%\msfgv2.dll",Startup
- '<SYSTEM32>\wscript.exe' "%TEMP%\b.vbs"
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\spoolsv.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\b.vbs
- %TEMP%\d.bat
- %WINDIR%\msfgv2.dll
- %TEMP%\Aqz..bat
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\8TYV0PI3\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\21X62HO5\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\618VQPIZ\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\BOCOALJ2\desktop.ini
- %WINDIR%\Temp\7.tmp
- %TEMP%\a1.7z
- %APPDATA%\Free Movie License.exe
- %TEMP%\nso2.tmp
- %TEMP%\7za.exe
- %TEMP%\nsl3.tmp\ExecDos.dll
- %TEMP%\4.tmp
- %TEMP%\Free.Movie.License3.exe
- %TEMP%\Free.Movie.License1.exe
- %TEMP%\Free.Movie.License2.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\8TYV0PI3\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\21X62HO5\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\618VQPIZ\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\BOCOALJ2\desktop.ini
Удаляет следующие файлы:
- %TEMP%\Free.Movie.License3.exe
- %TEMP%\Free.Movie.License2.exe
- %WINDIR%\Temp\7.tmp
- %TEMP%\5.tmp
- %TEMP%\nsl3.tmp\ExecDos.dll
Перемещает следующие файлы:
- %APPDATA%\Free Movie License.exe в %TEMP%\6.tmp
- %TEMP%\4.tmp в %TEMP%\5.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'localhost':1038
UDP:
- DNS ASK sk##a.net
- DNS ASK 02######0607.aginder.net
- DNS ASK 86###96b.com
- DNS ASK bc##rps.com
- DNS ASK fo###are.net
- DNS ASK so##u.com
- DNS ASK cn##.com
- DNS ASK py####rginia.com
- DNS ASK ac##owd.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
