Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'atiaudio' = '%PROGRAM_FILES%\Realtek\Audio\HDAudio\RtkUpd.exe'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\autorun.inf
- <Имя диска съемного носителя>:\$recycle.{645FF040-5081-101B-9F08-00AA002F954E}\recycle.exe
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\Realtek\Audio\HDAudio\RtkUpd.exe
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c """%TEMP%\delme.bat"" "
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Ищет следующие окна с целью
обнаружения различных программ и игр:
- ClassName: 'TXGuiFoundation' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\px445E434F[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\px445F434E[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\px47564047[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\px47574046[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\px44524343[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\px44534342[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\px44504341[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\px44514340[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\px47554044[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\px475F404E[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\px47504041[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\px46574146[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\px475E404F[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\px47534042[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\px47544045[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\px47514040[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\px47524043[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\px44544345[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\px44554344[1]
- C:\autorun.inf
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\px46574146[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\px47564047[1]
- %TEMP%\delme.bat
- %PROGRAM_FILES%\Realtek\Audio\HDAudio\RtkUpd.exe
- C:\$recycle.{645FF040-5081-101B-9F08-00AA002F954E}\recycle.exe
- %PROGRAM_FILES%\Realtek\Audio\HDAudio\RtkHDMI.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\px41504641[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\px44574346[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\px4C5D4B4C[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\px44554344[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\px44564347[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\px43524443[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\px40514740[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\px4D5C4A4D[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\px42534542[1]
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\autorun.inf
- C:\autorun.inf
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\px47564047[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\px44554344[1]
Самоудаляется.
Сетевая активность:
Подключается к:
- 'bl##.#ivedoor.jp':80
TCP:
Запросы HTTP GET:
- bl##.#ivedoor.jp/px445E434F
- bl##.#ivedoor.jp/px47574046
- bl##.#ivedoor.jp/px47554044
- bl##.#ivedoor.jp/px44514340
- bl##.#ivedoor.jp/px44504341
- bl##.#ivedoor.jp/px445F434E
- bl##.#ivedoor.jp/px47544045
- bl##.#ivedoor.jp/px47504041
- bl##.#ivedoor.jp/px475F404E
- bl##.#ivedoor.jp/px475E404F
- bl##.#ivedoor.jp/px47534042
- bl##.#ivedoor.jp/px47524043
- bl##.#ivedoor.jp/px47514040
- bl##.#ivedoor.jp/px44524343
- bl##.#ivedoor.jp/px41504641
- bl##.#ivedoor.jp/px40514740
- bl##.#ivedoor.jp/px43524443
- bl##.#ivedoor.jp/px44554344
- bl##.#ivedoor.jp/px47564047
- bl##.#ivedoor.jp/px46574146
- bl##.#ivedoor.jp/px42534542
- bl##.#ivedoor.jp/px44564347
- bl##.#ivedoor.jp/px44544345
- bl##.#ivedoor.jp/px44534342
- bl##.#ivedoor.jp/px4D5C4A4D
- bl##.#ivedoor.jp/px4C5D4B4C
- bl##.#ivedoor.jp/px44574346
UDP:
- DNS ASK bl##.#ivedoor.jp
- DNS ASK www.ba##u.com
Другое:
Ищет следующие окна:
- ClassName: 'IEFrame' WindowName: ''
- ClassName: '360se_Frame' WindowName: ''
- ClassName: 'GxWindowClassD3d' WindowName: ''
- ClassName: 'GxWindowClass' WindowName: ''
