Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'sunUpdate' = '"<SYSTEM32>\srvhost.exe"'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run /v sunUpdate /t reg_sz /d \"<SYSTEM32>\srvhost.exe\"
- '<SYSTEM32>\srvhost.exe'
- '<SYSTEM32>\cmd.exe' /c %TEMP%\xxm3.tmp.bat
- '<SYSTEM32>\cmd.exe' /c %TEMP%\xxm1.tmp.bat
- '%TEMP%\tmp2.tmp'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\kvndm.tmp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\s[1].txt
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\s3[1].txt
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\s2[1].txt
- %TEMP%\tmp2.tmp
- %TEMP%\xxm1.tmp.bat
- <SYSTEM32>\srvhost.exe
- %TEMP%\xxm3.tmp.bat
Удаляет следующие файлы:
- %TEMP%\kvndm.tmp
- %TEMP%\tmp2.tmp
Подменяет следующие файлы:
- %TEMP%\kvndm.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- '10.#0.10.23':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- http://10.#0.10.23/s3.txt
- http://10.#0.10.23/s2.txt
- http://10.#0.10.23/s.txt
