Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\wmffile\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\TIFImage.Document\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\Applications\shimgvw.dll\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'ThumbCacheO' = '%HOMEPATH%\userbbmlp.bat'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\52580205\eru.exe %TEMP%\52580205\xgl-rjx'
- [<HKLM>\SOFTWARE\Classes\pngfile\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\emffile\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\Paint.Picture\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\giffile\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\jpegfile\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
- [<HKLM>\SOFTWARE\Classes\pjpegfile\shell\open\command] '' = 'rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %1'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\services.exe'
- '%TEMP%\RegSvcs.exe'
- '<SYSTEM32>\cmd.exe' del "%TEMP%\RegSvcs.exe"
- '<SYSTEM32>\cmd.exe' copy "%TEMP%\RegSvcs.exe" "%HOMEPATH%\userbbmlp.bat" /V
- '<SYSTEM32>\regsvr32.exe' /s <SYSTEM32>\shimgvw.dll
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL %TEMP%\52580205\MSN.ICO
- '%TEMP%\52580205\eru.exe' %TEMP%\52580205\THDKF
- '%TEMP%\52580205\eru.exe' xgl-rjx
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\services.exe
- %WINDIR%\Explorer.EXE
следующие пользовательские процессы:
- pidgin.exe
- ICQ.exe
- skype.exe
- YahooMessenger.exe
- trillian.exe
- safari.exe
- chrome.exe
- RegSvcs.exe
- firefox.exe
- opera.exe
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\52580205\htk.txt
- %TEMP%\52580205\cgx.pdf
- %TEMP%\52580205\sah.mp3
- %TEMP%\52580205\aek.txt
- %TEMP%\52580205\jax.icm
- %TEMP%\52580205\hrd.mp4
- %TEMP%\52580205\igi.txt
- %TEMP%\52580205\hvr.mp3
- %TEMP%\52580205\vfl.jpg
- %TEMP%\52580205\rbd.txt
- %TEMP%\52580205\krn.ico
- %TEMP%\52580205\cns.ppt
- %TEMP%\52580205\tpe.bmp
- %TEMP%\52580205\urp.bmp
- %TEMP%\52580205\MSN.ICO
- %TEMP%\52580205\rju.mp3
- %TEMP%\52580205\dqs.icm
- %APPDATA%\7211-2UW\721logim.jpeg
- %HOMEPATH%\userbbmlp.bat
- %TEMP%\52580205\THDKF
- %TEMP%\52580205\tjr.dat
- %TEMP%\52580205\kgo.bmp
- %TEMP%\52580205\kpt.ico
- %TEMP%\52580205\ikx.icm
- %TEMP%\52580205\rsw.bmp
- %TEMP%\52580205\evu.docx
- %TEMP%\52580205\ttu.mp3
- %TEMP%\52580205\dic.pdf
- %TEMP%\52580205\svv.ico
- %TEMP%\52580205\xxi.pdf
- %TEMP%\52580205\jnd.txt
- %TEMP%\52580205\fmu.txt
- %TEMP%\52580205\xpv.icm
- %TEMP%\52580205\vpu.docx
- %TEMP%\52580205\eru.exe
- %TEMP%\52580205\xgl-rjx
- %TEMP%\52580205\idj.pdf
- %TEMP%\52580205\xfs.ppt
- %TEMP%\52580205\fld.txt
- %TEMP%\52580205\xka.xl
- %TEMP%\52580205\dvi.mp3
- %TEMP%\52580205\smg.ppt
- %TEMP%\52580205\qkc.mp3
- %TEMP%\52580205\oae.ico
- %TEMP%\52580205\tvn.dat
- %TEMP%\52580205\xbw.dat
- %TEMP%\52580205\cda.txt
- %TEMP%\52580205\vro.icm
- %TEMP%\52580205\msh.mp4
- %TEMP%\52580205\hlo.pdf
- %TEMP%\52580205\dja.pdf
- %TEMP%\52580205\kxg.bmp
- %TEMP%\52580205\imc.pdf
- %TEMP%\52580205\ult.docx
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\52580205\svv.ico
- %TEMP%\52580205\smg.ppt
- %TEMP%\52580205\sah.mp3
- %TEMP%\52580205\ttu.mp3
- %TEMP%\52580205\tpe.bmp
- %TEMP%\52580205\tjr.dat
- %TEMP%\52580205\rsw.bmp
- %TEMP%\52580205\oae.ico
- %TEMP%\52580205\MSN.ICO
- %TEMP%\52580205\msh.mp4
- %TEMP%\52580205\rju.mp3
- %TEMP%\52580205\rbd.txt
- %TEMP%\52580205\qkc.mp3
- %TEMP%\52580205\xka.xl
- %TEMP%\52580205\xgl-rjx
- %TEMP%\52580205\xfs.ppt
- %HOMEPATH%\userbbmlp.bat
- %TEMP%\52580205\xxi.pdf
- %TEMP%\52580205\xpv.icm
- %TEMP%\52580205\xbw.dat
- %TEMP%\52580205\urp.bmp
- %TEMP%\52580205\ult.docx
- %TEMP%\52580205\tvn.dat
- %TEMP%\52580205\vro.icm
- %TEMP%\52580205\vpu.docx
- %TEMP%\52580205\vfl.jpg
- %TEMP%\52580205\evu.docx
- %TEMP%\52580205\eru.exe
- %TEMP%\52580205\dvi.mp3
- %TEMP%\52580205\hlo.pdf
- %TEMP%\52580205\fmu.txt
- %TEMP%\52580205\fld.txt
- %TEMP%\52580205\dqs.icm
- %TEMP%\52580205\cgx.pdf
- %TEMP%\52580205\cda.txt
- %TEMP%\52580205\aek.txt
- %TEMP%\52580205\dja.pdf
- %TEMP%\52580205\dic.pdf
- %TEMP%\52580205\cns.ppt
- %TEMP%\52580205\kgo.bmp
- %TEMP%\52580205\jnd.txt
- %TEMP%\52580205\jax.icm
- %TEMP%\52580205\kxg.bmp
- %TEMP%\52580205\krn.ico
- %TEMP%\52580205\kpt.ico
- %TEMP%\52580205\imc.pdf
- %TEMP%\52580205\hvr.mp3
- %TEMP%\52580205\htk.txt
- %TEMP%\52580205\hrd.mp4
- %TEMP%\52580205\ikx.icm
- %TEMP%\52580205\igi.txt
- %TEMP%\52580205\idj.pdf
Удаляет следующие файлы:
- %TEMP%\RegSvcs.exe
- %TEMP%\52580205\THDKF
- %TEMP%\RGI1.tmp
Сетевая активность:
UDP:
- DNS ASK www.google.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
