Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%APPDATA%\hrd\aqs.exe %APPDATA%\hrd\nax-ovj'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%APPDATA%\cdt\vkc.exe %APPDATA%\cdt\nbl-xxk'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe' %APPDATA%\cdt\YWWBR
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe'
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe' %APPDATA%\hrd\PXHQM
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /stext "%TEMP%\holderwb.txt"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /stext "%TEMP%\holdermail.txt"
- '%APPDATA%\cdt\vkc.exe' nbl-xxk
- '%APPDATA%\cdt\bvnnn.exe' Girl Girl Girl Girl GirlGirl Girl Girl Girl Girl
- '%APPDATA%\hrd\aqs.exe' nax-ovj
- '%APPDATA%\hrd\aqs.exe' %APPDATA%\hrd\PXHQM
- '%APPDATA%\cdt\vkc.exe' %APPDATA%\cdt\YWWBR
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\MSNMessenger]
- [<HKCU>\Software\Microsoft\IdentityCRL]
- [<HKCU>\Software\Microsoft\Windows Live Mail]
- [<HKCU>\Identities\{5518F2FB-DB74-45A3-BEC1-4575D8D9DC84}\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Identities\{5518F2FB-DB74-45A3-BEC1-4575D8D9DC84}\Software\Microsoft\Internet Account Manager\Accounts]
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\hrd\gxf.mp3
- %APPDATA%\hrd\xuh.ppt
- %APPDATA%\hrd\nkt.xl
- %APPDATA%\hrd\bbu.mp3
- %APPDATA%\hrd\dqg.mp4
- %APPDATA%\hrd\qox.icm
- %APPDATA%\hrd\cae.icm
- %APPDATA%\hrd\sgc.jpg
- %APPDATA%\hrd\ucv.jpg
- %APPDATA%\hrd\rds.mp4
- %APPDATA%\hrd\lgk.jpg
- %APPDATA%\hrd\aom.bmp
- %APPDATA%\hrd\gvm.mp4
- %APPDATA%\hrd\iub.icm
- %APPDATA%\hrd\aqs.exe
- %APPDATA%\hrd\ajv.bmp
- %APPDATA%\hrd\wpg.bmp
- %APPDATA%\hrd\kku.jpg
- %APPDATA%\hrd\fbh.docx
- %APPDATA%\hrd\rdu.bmp
- %APPDATA%\hrd\bwl.icm
- %APPDATA%\cdt\spd
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\.Identifier
- %APPDATA%\hrd\PXHQM
- %APPDATA%\hrd\ilt.txt
- %APPDATA%\cdt\YWWBR
- %TEMP%\holdermail.txt
- %TEMP%\holderwb.txt
- %APPDATA%\pidloc.txt
- %APPDATA%\hrd\spd
- %APPDATA%\pid.txt
- %APPDATA%\hrd\ltp.ppt
- %APPDATA%\hrd\tkd.icm
- %APPDATA%\hrd\gao.ico
- %APPDATA%\hrd\xih.pdf
- %APPDATA%\hrd\gjf.pdf
- %APPDATA%\hrd\vat.docx
- %APPDATA%\hrd\pae.mp3
- %APPDATA%\hrd\hsx.bmp
- %APPDATA%\hrd\ork.icm
- %APPDATA%\hrd\whh.xl
- %APPDATA%\hrd\oep.ico
- %APPDATA%\cdt\twv.ico
- %APPDATA%\cdt\jrc.mp4
- %APPDATA%\cdt\shc.docx
- %APPDATA%\cdt\qus.txt
- %APPDATA%\cdt\cgh.dat
- %APPDATA%\cdt\tvl.docx
- %APPDATA%\cdt\tle.mp4
- %APPDATA%\cdt\ufk.ico
- %APPDATA%\cdt\lnr.icm
- %APPDATA%\cdt\eqm.ppt
- %APPDATA%\cdt\iss.ico
- %APPDATA%\cdt\vwm.bmp
- %APPDATA%\cdt\ibj.txt
- %APPDATA%\cdt\vkc.exe
- %APPDATA%\cdt\xef.dat
- %APPDATA%\cdt\nbl-xxk
- %APPDATA%\cdt\wdn.txt
- %APPDATA%\cdt\urn.docx
- %APPDATA%\cdt\ofb.bmp
- %APPDATA%\cdt\dev.mp4
- %APPDATA%\cdt\afg.jpg
- %APPDATA%\cdt\cbj.jpg
- %APPDATA%\cdt\ooa.dat
- %APPDATA%\cdt\xsu.jpg
- %APPDATA%\cdt\sir.dat
- %APPDATA%\cdt\xgx.txt
- %APPDATA%\hrd\lhc.dat
- %APPDATA%\hrd\nax-ovj
- %APPDATA%\cdt\bvnnn.exe
- %APPDATA%\cdt\lcv.ppt
- %APPDATA%\cdt\aks.bmp
- %APPDATA%\cdt\shg.xl
- %APPDATA%\cdt\wro.ico
- %APPDATA%\cdt\rod.xl
- %APPDATA%\cdt\jef.jpg
- %APPDATA%\cdt\hux.docx
- %APPDATA%\cdt\avs.mp3
- %APPDATA%\cdt\tlh.icm
- %APPDATA%\cdt\gbc.dat
- %APPDATA%\cdt\eto.ppt
- %APPDATA%\cdt\icn.jpg
- %APPDATA%\cdt\pnq.bmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\.Identifier
Удаляет следующие файлы:
- %APPDATA%\hrd\spd
- %TEMP%\holdermail.txt
- %TEMP%\holderwb.txt
- %APPDATA%\cdt\YWWBR
- %APPDATA%\cdt\spd
- %APPDATA%\hrd\PXHQM
Сетевая активность:
Подключается к:
- 'wh#####yipaddress.com':80
- 'ft#.##b-hsbc.com':21
- '16#.#7.20.67':8881
- 'wp#d':80
TCP:
Запросы HTTP GET:
- http://wh#####yipaddress.com/
- http://11#.#11.111.1/wpad.dat via wp#d
UDP:
- DNS ASK ft#.##b-hsbc.com
- DNS ASK wh#####yipaddress.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
