Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'shvlzm' = '"%ProgramFiles%\MSN Gaming Zone\v1.5.68700\shvlzm.exe"'
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\{D2309EFC-AB81-74D2-4D23-1674D2309EFC}.job
- %WINDIR%\Tasks\{09EFC5AB-D230-AB81-74D2-4D2309EFC5AB}.job
- %HOMEPATH%\Start Menu\Programs\Startup\shvlzm.lnk
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: 'PROCEXPL', WindowName: ''
- ClassName: 'SmartSniff', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'RegMonClass', WindowName: ''
- ClassName: 'FileMonClass', WindowName: ''
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'TCPViewClass', WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\9ac0c60d3f04981125be2d6194ec8ccd_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\E11650B70FE4E7559DEA7F0E9B75E4B0EBB088AD
- %TEMP%\{D2309EFC-AB81-74D2-4D23-1674D2309EFC}\ZmnkBSPM.exe
- %ProgramFiles%\MSN Gaming Zone\v1.5.68700\shvlzm.exe
- C:\System Volume Information\EFS0.LOG
- %APPDATA%\Microsoft\Protect\CREDHIST
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Tasks\{D2309EFC-AB81-74D2-4D23-1674D2309EFC}.job
- %WINDIR%\Tasks\{09EFC5AB-D230-AB81-74D2-4D2309EFC5AB}.job
- %HOMEPATH%\Start Menu\Programs\Startup\shvlzm.lnk
Удаляет следующие файлы:
- C:\System Volume Information\EFS0.LOG
Сетевая активность:
Подключается к:
- 'no####vovure.biz':443
- 'su#########al-regehuhaly-unemesian.info':443
- 'su##########ltraduhidith-underulegitese.biz':443
- 'ex###hor.info':443
- 'ir#########ntikidafion-antikebugian.org':443
- 'im######-minipelalive.org':443
- 'un###########-multilobasous-minilibupadom.com':443
- 'ma###farath.org':443
- 'mo###########n-macroluzalelike-inuculist.biz':443
UDP:
- DNS ASK ov####axovary.biz
- DNS ASK ul####adohed.biz
- DNS ASK ul####avigoty.net
- DNS ASK de#########subopunitism-irecidolite.org
- DNS ASK po###cuzite.com
- DNS ASK no####mulish.biz
- DNS ASK ex###nelish.com
- DNS ASK mi####usulelike.biz
- DNS ASK co#####y-irarolify.com
- DNS ASK ov####odable.com
- DNS ASK su#######ian-inokodency.info
- DNS ASK no##########-interulinepish-subalezacal.org
- DNS ASK an####gamiment.info
- DNS ASK se###########disegaruless-microrevivudom.com
- DNS ASK im#######ke-mononimebasion.net
- DNS ASK em###sage.com
- DNS ASK em###gely.biz
- DNS ASK un#######nt-emenapatian.info
- DNS ASK mi#######tical-pretegavency.net
- DNS ASK en###bern.biz
- DNS ASK ma####ikaless.biz
- DNS ASK mi#########repugelor-nonogixakity.com
- DNS ASK im###fing.com
- DNS ASK re####saness.org
- DNS ASK in####tacanen.biz
- DNS ASK mo####bohood.org
- DNS ASK co###uly.info
- DNS ASK mi#######hood-iranavolor.biz
- DNS ASK ex###ver.biz
- DNS ASK mi###########microcanoment-ultraxikicihood.biz
- DNS ASK di#########enapuless-semitahuhate.net
- DNS ASK il#########-misacecian-prevasaward.org
- DNS ASK im###sidom.org
- DNS ASK en###tent.biz
- DNS ASK mi####kifage.biz
- DNS ASK an#########le-emopenakity-unuvizoly.org
- DNS ASK tr#######ugian-misesaniward.com
- DNS ASK im##########-retilelike-macrofocuked.org
- DNS ASK il#######on-monococoxance.biz
- DNS ASK in#######r-micropuhiness.biz
- DNS ASK ov####etakion.biz
- DNS ASK ex####elike.info
- DNS ASK mi#######sion-ultrahemiman.biz
- DNS ASK mi#######ard-posterazasance.com
- DNS ASK in########pant-minilobedoship.net
- DNS ASK re###emive.org
- DNS ASK mi##########overogazeness-interogekate.net
- DNS ASK in#######ze-protogecesion.net
- DNS ASK re###eced.org
- DNS ASK an########-irukunely-nonohikan.biz
- DNS ASK im#########lokotity-multidicebity.com
- DNS ASK en#########roruvikify-subibonetion.info
- DNS ASK di####revous.info
- DNS ASK in####gitese.info
- DNS ASK di##########nonehatusion-minimexeness.com
- DNS ASK tr#######ety-macrotafapism.org
- DNS ASK un###########n-postetepilike-overekenous.biz
- DNS ASK ov###########inikazabish-ultranoduniment.net
- DNS ASK co##########bibifoment-semitapofulike.net
- DNS ASK ex#######ve-multitifaless.net
- DNS ASK an#######oness-misilulety.info
- DNS ASK ma#######paship-subohukian.info
- DNS ASK un########fancy-undericarity.biz
- DNS ASK ma###farath.org
- DNS ASK su#########al-regehuhaly-unemesian.info
- DNS ASK ir#########ntikidafion-antikebugian.org
- DNS ASK un###########-multilobasous-minilibupadom.com
- DNS ASK im######-minipelalive.org
- DNS ASK mo###########n-macroluzalelike-inuculist.biz
- DNS ASK mi##########inilivilike-disebaputive.biz
- DNS ASK ma##########n-semififahing-delixazily.net
- DNS ASK mi#######iment-inilatuzity.biz
- DNS ASK no####vovure.biz
- DNS ASK ex###hor.info
- DNS ASK su##########ltraduhidith-underulegitese.biz
- DNS ASK il#########-misozozosion-nonenufize.biz
- DNS ASK ma######anite-imugivian.biz
- DNS ASK ma#######bage-ineruxish.info
- DNS ASK se####somity.net
- DNS ASK re###eted.net
- DNS ASK mi##########verofobision-semilobossion.info
- DNS ASK no###ision.biz
- DNS ASK pr#########on-imepogic-emelutation.net
- DNS ASK il######hip-inegipese.com
- DNS ASK un###########-subagozaless-multivazoping.biz
- DNS ASK mu#######cance-inogixulency.net
- DNS ASK no##########underirelancy-unasocigency.org
- DNS ASK di######less-defopadom.net
- DNS ASK mu####iredom.net
- DNS ASK tr########zable-microzemaness.info
- DNS ASK em#####re-exirovage.com
- DNS ASK em##########microtorahian-multikimofing.com
- DNS ASK un###ziward.net
- DNS ASK ul#######hern-underaxagocal.net
- DNS ASK un######biding-unesomer.biz
- DNS ASK an###########transisivulike-underefirize.org
- DNS ASK un######ess-inexekure.net
- DNS ASK no######on-overozecaful.com
- DNS ASK im###vitic.info
- DNS ASK ir######ul-pretodicafy.org
Другое:
Ищет следующие окна:
- ClassName: 'pediy0' WindowName: ''
- ClassName: 'cwmonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'WinDbgFrameClass' WindowName: ''
- ClassName: 'PacketSnifferClass1' WindowName: ''
- ClassName: 'dbgviewClass' WindowName: ''
