Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HDIntelUpdate' = '%APPDATA%\vbcc.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\smrcc.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\wbem\unsecapp.exe' -Embedding
- '%APPDATA%\smrcc.exe'
- '%TEMP%\7zS1.tmp\setup-stub.exe'
- '%TEMP%\340.exe'
- '%APPDATA%\vbcc.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nss3.tmp\nsDialogs.dll
- %TEMP%\nss3.tmp\pencil.bmp
- %TEMP%\nss3.tmp\particles.bmp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\worm[1].php
- %APPDATA%\smrcc.exe
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\server[1].exe
- %TEMP%\nss3.tmp\clock.bmp
- %TEMP%\7zS1.tmp\setup-stub.exe
- %APPDATA%\vbcc.exe
- %TEMP%\340.exe
- %TEMP%\nss3.tmp\appname.bmp
- %TEMP%\nss3.tmp\bgintro.bmp
- %TEMP%\nss3.tmp\System.dll
Сетевая активность:
Подключается к:
- '18#.#3.38.130':80
- 'em#####lrm3tnwcf.xyz':80
TCP:
Запросы HTTP GET:
- http://18#.#3.38.130/worm.php?ac################################################################
- http://em#####lrm3tnwcf.xyz/server.exe
UDP:
- DNS ASK em#####lrm3tnwcf.xyz
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
