Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\UpdateService.job
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /Run /TN "UpdateService"
- '%ALLUSERSPROFILE%\Application Data\UpdateService\UpdateService.exe' -t
- '%ALLUSERSPROFILE%\Application Data\UpdateService\UpdateService.exe'
- '<SYSTEM32>\schtasks.exe' /Create /RU SYSTEM /SC ONSTART /TN "UpdateService" /TR "\"%ALLUSERSPROFILE%\Application Data\UpdateService\UpdateService.exe\" -t"
- '%TEMP%\tmp28123\setup.exe' -i "<Полный путь к файлу>"
- '%ALLUSERSPROFILE%\Application Data\UpdateService\UpdateService.exe' -r "%TEMP%\tmp28123\setup.exe"
- '<SYSTEM32>\schtasks.exe' /Delete /TN "UpdateService" /F
Изменения в файловой системе:
Создает следующие файлы:
- C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\INE92X4H\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\8PA7WXIV\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\KWI7JJRV\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\History\History.IE5\index.dat
- C:\Documents and Settings\NetworkService\Cookies\index.dat
- C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\R837JOKF\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\index.dat
- %ALLUSERSPROFILE%\Application Data\UpdateService\UpdateService.exe
- %TEMP%\tmp28123\setup.exe.config
- %TEMP%\tmp28123\setup.exe
- %ALLUSERSPROFILE%\Application Data\UpdateService\settings.dat
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\eb4d8809e0bad347cc11aa52d4a741e2_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %ALLUSERSPROFILE%\Application Data\UpdateService\UpdateService.exe.config
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\INE92X4H\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\R837JOKF\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\KWI7JJRV\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\<INETFILES>\Content.IE5\8PA7WXIV\desktop.ini
Удаляет следующие файлы:
- %WINDIR%\Tasks\UpdateService.job
- %TEMP%\tmp28123\setup.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'co##er66.hu':80
- 'po####klubimoy.ru':80
- 'wp#d':80
- 'xo##k.ru':80
TCP:
Запросы HTTP GET:
- http://11#.#11.111.1/wpad.dat via wp#d
Запросы HTTP POST:
- http://po####klubimoy.ru/admin/servis/sale/log.php?ur###############
- http://co##er66.hu/plugins/system/logout/log.php?ur###############
- http://xo##k.ru/libraries/cms/schema/changeitem/info.php?ur###############
UDP:
- DNS ASK co##er66.hu
- DNS ASK po####klubimoy.ru
- DNS ASK wp#d
- DNS ASK xo##k.ru
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'Info32 Window - 015'
