Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SMrhcp1lj0ece5' = '%PROGRAM_FILES%\rhcp1lj0ece5\rhcp1lj0ece5.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'inrhcp1lj0ece5' = '<Полный путь к вирусу> /CR=D41D8CD98F00B204E9800998ECF8427E'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\pphct1lj0ece5.exe'
- '%PROGRAM_FILES%\rhcp1lj0ece5\rhcp1lj0ece5.exe'
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' //B %TEMP%\pin.vbs "%ALLUSERSPROFILE%\Start Menu\Programs\Antivirus XP 2008" "Register Antivirus XP 2008.lnk"
- '<SYSTEM32>\wscript.exe' //B %TEMP%\pin.vbs "%ALLUSERSPROFILE%\Start Menu\Programs\Antivirus XP 2008" "Antivirus XP 2008.lnk"
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\rhcp1lj0ece5\MFC71.dll
- %PROGRAM_FILES%\rhcp1lj0ece5\MFC71ENU.DLL
- %PROGRAM_FILES%\rhcp1lj0ece5\msvcr71.dll
- %PROGRAM_FILES%\rhcp1lj0ece5\msvcp71.dll
- %ALLUSERSPROFILE%\Start Menu\Programs\Antivirus XP 2008\How to Register Antivirus XP 2008.lnk
- %PROGRAM_FILES%\rhcp1lj0ece5\rhcp1lj0ece5.exe
- %PROGRAM_FILES%\rhcp1lj0ece5\database.dat
- %TEMP%\oebo.bat
- <SYSTEM32>\pphct1lj0ece5.exe
- %TEMP%\compress.dat
- %TEMP%\nsn3.tmp\KillSelf.dll
- %PROGRAM_FILES%\rhcp1lj0ece5\license.txt
- %TEMP%\pin.vbs
- %PROGRAM_FILES%\rhcp1lj0ece5\Uninstall.exe
- %ALLUSERSPROFILE%\Start Menu\Programs\Antivirus XP 2008\Register Antivirus XP 2008.lnk
- %TEMP%\nsn3.tmp\md5dll.dll
- %TEMP%\nsn3.tmp\rc4hex.dll
- %TEMP%\nsn3.tmp\update.ini
- %TEMP%\nsn3.tmp\System.dll
- %TEMP%\nsw2.tmp
- %TEMP%\nsn3.tmp\MachineKey.dll
- %TEMP%\nsn3.tmp\Mutex.dll
- %ALLUSERSPROFILE%\Start Menu\Programs\Antivirus XP 2008\License Agreement.lnk
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Antivirus XP 2008.lnk
- %ALLUSERSPROFILE%\Desktop\Antivirus XP 2008.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\Antivirus XP 2008.lnk
- %TEMP%\nsn3.tmp\lastpage.ini
- %ALLUSERSPROFILE%\Start Menu\Programs\Antivirus XP 2008\Uninstall.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\Antivirus XP 2008\Antivirus XP 2008.lnk
Удаляет следующие файлы:
- %TEMP%\nsn3.tmp\Mutex.dll
- %TEMP%\nsn3.tmp\md5dll.dll
- %TEMP%\nsn3.tmp\rc4hex.dll
- %TEMP%\nsn3.tmp\update.ini
- %TEMP%\nsn3.tmp\System.dll
- %TEMP%\compress.dat
- %TEMP%\pin.vbs
- %TEMP%\nsn3.tmp\KillSelf.dll
- %TEMP%\nsn3.tmp\MachineKey.dll
- %TEMP%\nsn3.tmp\lastpage.ini
Самоудаляется.
Сетевая активность:
Подключается к:
- 'av###2008.net':80
TCP:
Запросы HTTP GET:
- av###2008.net/?in##################
UDP:
- DNS ASK 61##########3030382E6E6574.news-update.com
- DNS ASK av###2008.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
