Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [\REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\\u0421\u043b\u0443\u0436\u0431\u0430 \u0443\u0432\u0435\u0434\u043e\u043c\u043b\u0435\u043d\u0438\u044f Windows] 'Start' = '00000002'
- [\REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\\u0421\u043b\u0443\u0436\u0431\u0430 \u0443\u0432\u0435\u0434\u043e\u043c\u043b\u0435\u043d\u0438\u044f Windows] 'ImagePath' = 'C:\ProgramData\A...
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=\"\u0421\u043b\u0443\u0436\u0431\u0430 \u0443\u0432\u0435\u0434\u043e\u043c\u043b\u0435\u043d\u0438\u044f Windows\" dir=in action=allow program=\"C:\\ProgramD...
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\$inst\2.tmp
- \\Device\\HarddiskVolume1\\Muldrop\\ubtli\u043etu.fyf_1
- \\Device\\HarddiskVolume1\\ProgramData\\Anyplace Control 4\\taskh\u043est.exe
- C:\ProgramData\Anyplace Control 4\libspeexdsp.dll
- C:\ProgramData\Anyplace Control 4\libspeex.dll
- C:\ProgramData\Anyplace Control 4\hoststate.dat
- \\Device\\HarddiskVolume1\\Muldrop\\ubtli\u043etu.fyf_0
- \\Device\\HarddiskVolume1\\Documents and Settings\\%USERNAME%\\Local Settings\\Temp\\taskh\u043est.exe
- %TEMP%\loader2.bat
- %TEMP%\loader1.bat
- %TEMP%\loader.js
- %TEMP%\libspeexdsp.dll
- %TEMP%\libspeex.dll
- %TEMP%\hoststate.dat
- %TEMP%\hostaccount.ini
- %TEMP%\apc-settings.ini
- %TEMP%\111.doc
- %TEMP%\$inst\temp_0.tmp
- C:\ProgramData\Anyplace Control 4\apc-settings.ini
- C:\ProgramData\Anyplace Control 4\hostaccount.ini
Удаляет следующие файлы:
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
Другое:
Ищет следующие окна:
- ClassName: 'WordPadClass' WindowName: ''
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' \"C:\\DOCUME~1\\%USERNAME%\\LOCALS~1\\Temp\\loader.js\"
- '<SYSTEM32>\cmd.exe' /c \"\"C:\\DOCUME~1\\%USERNAME%\\LOCALS~1\\Temp\\loader1.bat\" \"
- '<SYSTEM32>\cmd.exe' /c \"\"C:\\DOCUME~1\\%USERNAME%\\LOCALS~1\\Temp\\loader2.bat\" \"
- '%ProgramFiles%\Windows NT\Accessories\wordpad.exe' Files\\Windows NT\\Accessories\\WORDPAD.EXE\" \"C:\\DOCUME~1\\%USERNAME%\\LOCALS~1\\Temp\\111.doc\"
- '<SYSTEM32>\ping.exe' -n 1 127.0.0.1
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\find.exe' /i \"winword.exe\"
- '<SYSTEM32>\sc.exe' create \"\u0421\u043b\u0443\u0436\u0431\u0430 \u0443\u0432\u0435\u0434\u043e\u043c\u043b\u0435\u043d\u0438\u044f Windows\" start= auto binPath= \"C:\\ProgramData\\Anyplace Control 4\\taskh\u043...
- '<SYSTEM32>\sc.exe' description \"\u0421\u043b\u0443\u0436\u0431\u0430 \u0443\u0432\u0435\u0434\u043e\u043c\u043b\u0435\u043d\u0438\u044f Windows\" \"\u041e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u0...
