Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'KeyboardOnlinePolicy' = 'rundll32.exe "%ALLUSERSPROFILE%\Application Data\KeyboardOnlinePolicy.dll",DllRegisterServer'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'DrWeb Update' = 'rundll32 "<LS_APPDATA>\VMware\VMwareUpdate\VMwareup.dll",DllRegisterServer'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe "%ALLUSERSPROFILE%\Application Data\KeyboardOnlinePolicy.dll",DllRegisterServer
- <SYSTEM32>\rundll32.exe "<LS_APPDATA>\VMware\VMwareUpdate\VMwareup.dll",DllRegisterServer 1
- <SYSTEM32>\msiexec.exe /I "%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\full_flashplayer_win_msi[1]" /qn /norestart REBOOT=ReallySuppress
- <SYSTEM32>\rundll32.exe "<LS_APPDATA>\VMware\VMwareUpdate\VMwareup.dll",DllRegisterServer 2
- <SYSTEM32>\msiexec.exe /V
- <SYSTEM32>\rundll32.exe "%TEMP%\nsg3.tmp\d2opql.tm_",DllRegisterServer
- <SYSTEM32>\regsvr32.exe /s "%TEMP%\nsg3.tmp\complete.dll"
- <SYSTEM32>\rundll32.exe "<LS_APPDATA>\VMware\VMwareUpdate\VMwareup",DllUnregisterServer
- <SYSTEM32>\rundll32.exe "<LS_APPDATA>\TCPIPSys32.dll",DllRegisterServer
- <SYSTEM32>\rundll32.exe "<LS_APPDATA>\VMware\VMwareUpdate\VMwareup",DllRegisterServer
Внедряет код в
следующие пользовательские процессы:
- opera.exe
- iexplore.exe
- firefox.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnonZoneCrossing' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\{db6bbb13-fd97-4beb-8a03-f37ee0129420}\chrome.manifest
- %TEMP%\zxzbynkb.png
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\{db6bbb13-fd97-4beb-8a03-f37ee0129420}\defaults\preferences\xulcache.js
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\{db6bbb13-fd97-4beb-8a03-f37ee0129420}\chrome\xulcache.jar
- %TEMP%\tpcpumzgb.png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\google[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\full_flashplayer_win_msi[1]
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\{db6bbb13-fd97-4beb-8a03-f37ee0129420}\install.rdf
- %TEMP%\nsg3.tmp\d0i9ke.tm_
- %TEMP%\nsg3.tmp\d1ikfd.tm_
- %TEMP%\nsq2.tmp
- %TEMP%\nsg3.tmp\complete.dll
- <LS_APPDATA>\TCPIPSys32.dll
- %ALLUSERSPROFILE%\Application Data\KeyboardOnlinePolicy.dll
- %TEMP%\nsg3.tmp\d2opql.tm_
- <LS_APPDATA>\VMware\VMwareUpdate\VMwareup.dll
Удаляет следующие файлы:
- %TEMP%\tpcpumzgb.png
- %TEMP%\zxzbynkb.png
Сетевая активность:
Подключается к:
- '74.##5.232.51':80
- 'localhost':1044
- 'localhost':1041
- 'localhost':1035
- 'www.ad##e.com':80
TCP:
Запросы HTTP GET:
- 74.##5.232.51/
- www.ad##e.com/go/full_flashplayer_win_msi
UDP:
- DNS ASK www.google.com
- DNS ASK www.ad##e.com
- DNS ASK nt#.#asa.gov
- '<IP-адрес в локальной сети>':1036
- '<IP-адрес в локальной сети>':1037
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
