Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\204426] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\Debug\micq.exe' = '%WINDIR%\Debug\micq.exe:*:Enabled:KL'
Создает и запускает на исполнение:
- %WINDIR%\Debug\micq.exe /start
Запускает на исполнение:
- <SYSTEM32>\sc.exe delete 204426
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\SOFTWARE\FlashFXP\3]
- [<HKLM>\SOFTWARE\FlashFXP\3]
Изменения в файловой системе:
Создает следующие файлы:
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0J2LM5OP\_uid=204426&ver=9hxpa[1]
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0J2LM5OP\wpad[1].dat
- %WINDIR%\Debug\bc
- %WINDIR%\Debug\micq.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Debug\micq.exe
Удаляет следующие файлы:
- %WINDIR%\Debug\bc
Сетевая активность:
Подключается к:
- 'wpad.localdomain':80
- '?u########6&ver=9hxpa.localdomain':80
TCP:
Запросы HTTP GET:
- wpad.localdomain/wpad.dat
- ?u########6&ver=9hxpa.localdomain/
UDP:
- DNS ASK wpad.localdomain
- DNS ASK ?u########6&ver=9hxpa.localdomain
Другое:
Ищет следующие окна:
- ClassName: 'Wjyx, Awogoy, Hk' WindowName: 'Jxgojq Jsr. Xmqxxkq'
- ClassName: 'Vwjuhq Brc, Plgjva' WindowName: 'Ihcboxy, Atjgmnp Ua'
- ClassName: 'Woum Ryxkatw Agtr' WindowName: 'Cmx. Yqyu Ahpycag C'
- ClassName: 'Ikfvdytv Riq, Nomo' WindowName: 'Dpfyx. Ck. Xlwdu'
- ClassName: 'Pqhadg Sja Npwpv' WindowName: 'Guxbuyua Lkwel Lc'
- ClassName: 'Sglljn Cuaterrake' WindowName: 'Pxhnwjo Afmef. Esit'
- ClassName: 'Kadhdu Hcwhn Dn' WindowName: 'Yuvl. Uxnr. Lmyc'
- ClassName: 'Xwjqnh Hsp, Icwviis' WindowName: 'Ehjm. Ayvau Hlnoe'
- ClassName: 'Ctmuhi Esw Uftxtcty' WindowName: 'Cysxq. Rclvf Nspy'
- ClassName: 'Hrirnae Asfaxqu' WindowName: 'Tmwo Ydnup, Yexlus'
- ClassName: 'Egkuena' WindowName: 'Egkuena'
- ClassName: 'Fbdri. Yatlsfcier J' WindowName: 'Plwyw. Kyqtmae, Rgy'
- ClassName: 'Ktjkxpwchr' WindowName: 'Ktjkxpwchr'
- ClassName: 'Jfeoupx Wufvbbp' WindowName: 'Wdxcg Rlaygqqui'
- ClassName: 'Iyyxkkal, Der Bejeu' WindowName: 'Jnfwjsm Sxnm Lm'
- ClassName: 'Bvotg Hlpfeopn Thjb' WindowName: 'Bopudppgb. Wsqx G'
- ClassName: 'Urtigon Nirjbhaj' WindowName: 'Oueljjx Vehpisg Uy'
- ClassName: 'Yoiiwoev Qtkm, Gyi' WindowName: 'Tripk Gubnd Xxbmiop'
- ClassName: 'Bkebduyb, Enhfvnh' WindowName: 'Rqam. Hbie Uxkca'
- ClassName: 'Ouaqvajqu Mk' WindowName: 'Ouaqvajqu Mk'
- ClassName: 'Jyjtllu Pva Nyey' WindowName: 'Mfiy. Dqovx Kput'
- ClassName: 'Gaspnx Vqjuymxyb G' WindowName: 'Xoaodtoq. Mrxcgwjo'
- ClassName: 'Rjhsacu Xucxanv' WindowName: 'Gbsiutu Avt. Vqinya'
- ClassName: 'Wirp. Nss, Osjhu' WindowName: 'Wirp. Nss, Osjhu'
- ClassName: 'Iuvvbqx. Bft Ci' WindowName: 'Gjnhxmd Wfylwwr Qc'
- ClassName: 'Jbmuuyn Qah' WindowName: 'Jbmuuyn Qah'
- ClassName: 'Tayml, Ewfn, Fce. G' WindowName: 'Ivtjrvto Rhrfwao U'
- ClassName: 'Inbwt Embw, Nxu' WindowName: 'Inbwt Embw, Nxu'
- ClassName: 'Qapop. Hdmljpw J' WindowName: 'Uuyfycv, Mkecd. K'
- ClassName: 'Cwkcbl. Rlfvk Liybd' WindowName: 'Kfpmdcw Oqrch Qj'
- ClassName: 'Jxein Nfraggqym H' WindowName: 'Jxein Nfraggqym H'
- ClassName: 'Lvrgywwn Yaeeor. Kf' WindowName: 'Syvnixjqg Vhdsn'
- ClassName: 'Gaywwje. Wbsgo Uc' WindowName: 'Iifrl, Bvvo. Pehej'
- ClassName: 'Fphyn, Sspbawq Iiol' WindowName: 'Fphyn, Sspbawq Iiol'
