BackDoor.IRC.Sdbot.18291

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%ALLUSERSPROFILE%\start menu\programs\startup\msmsgs.exe
%ALLUSERSPROFILE%\start menu\programs\startup\rcx6.tmp

Создает следующие сервисы

[<HKLM>\SYSTEM\ControlSet001\Services\srservice] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\srservice] 'ImagePath' = '%WINDIR%\svchost.eXe'

Создает следующие файлы на съемном носителе

<Имя диска съемного носителя>:\~angle.exe
<Имя диска съемного носителя>:\4f0bf7ff71f28.exe
<Имя диска съемного носителя>:\13.exe
<Имя диска съемного носителя>:\168.exe
<Имя диска съемного носителя>:\1189.exe
<Имя диска съемного носителя>:\region-north-karelia.exe
<Имя диска съемного носителя>:\block.exe
<Имя диска съемного носителя>:\calibre.exe
<Имя диска съемного носителя>:\background.exe
<Имя диска съемного носителя>:\asm.exe
<Имя диска съемного носителя>:\arrow-down.exe
<Имя диска съемного носителя>:\excel_example.exe
<Имя диска съемного носителя>:\price030215.exe
<Имя диска съемного носителя>:\productos.exe
<Имя диска съемного носителя>:\1sm_price.exe
<Имя диска съемного носителя>:\price.exe
<Имя диска съемного носителя>:\contractualdeadlines.exe
<Имя диска съемного носителя>:\calculatorworksheet.exe
<Имя диска съемного носителя>:\pushkin.exe
<Имя диска съемного носителя>:\~'.exe
<Имя диска съемного носителя>:\2.exe
<Имя диска съемного носителя>:\adadsi.exe
<Имя диска съемного носителя>:\~.exe
<Имя диска съемного носителя>:\coffee.exe
<Имя диска съемного носителя>:\dashborder_144.exe
<Имя диска съемного носителя>:\default.exe
<Имя диска съемного носителя>:\toolbar.exe
<Имя диска съемного носителя>:\skypesetup'.exe
<Имя диска съемного носителя>:\rcx12.tmp
<Имя диска съемного носителя>:\calc'.exe
<Имя диска съемного носителя>:\rcx13.tmp
<Имя диска съемного носителя>:\utorrent'.exe
<Имя диска съемного носителя>:\rcx14.tmp
<Имя диска съемного носителя>:\64bit_notes.exe
<Имя диска съемного носителя>:\ituneshelpunavailable.exe
<Имя диска съемного носителя>:\alert.exe
<Имя диска съемного носителя>:\browse.exe
<Имя диска съемного носителя>:\tree_view.exe
<Имя диска съемного носителя>:\about.exe
<Имя диска съемного носителя>:\howto-index.exe
<Имя диска съемного носителя>:\rcx15.tmp

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует отображение:

скрытых файлов
расширений файлов

изменяет следующие системные настройки:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSetFolders' = '00000001'

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\documents\my pictures\svchost.exe
%ALLUSERSPROFILE%\documents\my music\rcxf.tmp
%WINDIR%\rcxe.tmp
%ALLUSERSPROFILE%\documents\my music\rcxd.tmp
C:\surat buat presiden.htm
%ALLUSERSPROFILE%\documents\my music\rcxc.tmp
%ALLUSERSPROFILE%\documents\my pictures\rcxb.tmp
%ALLUSERSPROFILE%\documents\my pictures\jpg.exe
%ALLUSERSPROFILE%\documents\my pictures\rcxa.tmp
%ALLUSERSPROFILE%\documents\my pictures\iexplore.exe
%ALLUSERSPROFILE%\documents\my pictures\rcx9.tmp
%ALLUSERSPROFILE%\documents\my pictures\wmplayer.exe
%ALLUSERSPROFILE%\documents\my music\angle.zip
%ALLUSERSPROFILE%\documents\my music\rcx10.tmp
%ALLUSERSPROFILE%\documents\my pictures\rcx8.tmp
%WINDIR%\rcx7.tmp
%WINDIR%\regedit.reg
%WINDIR%\ziprar.exe
%ALLUSERSPROFILE%\documents\my music\rcx5.tmp
%ALLUSERSPROFILE%\documents\my music\angle.exe
<SYSTEM32>\rcx4.tmp
<SYSTEM32>\angle.exe
%WINDIR%\rcx3.tmp
%WINDIR%\svchost.exe
%ALLUSERSPROFILE%\documents\my music\rcx2.tmp
%ALLUSERSPROFILE%\documents\my music\svchost.exe
%ALLUSERSPROFILE%\documents\my pictures\rcx1.tmp
%ALLUSERSPROFILE%\documents\my pictures\messenger.exe
%ALLUSERSPROFILE%\documents\my music\rcx11.tmp

Присваивает атрибут 'скрытый' для следующих файлов

%ALLUSERSPROFILE%\documents\my pictures\svchost.exe
%ALLUSERSPROFILE%\documents\my music\svchost.exe
%WINDIR%\svchost.exe
<SYSTEM32>\angle.exe
<Имя диска съемного носителя>:\~.exe
<Имя диска съемного носителя>:\~angle.exe

Удаляет следующие файлы

%ALLUSERSPROFILE%\documents\my pictures\svchost.exe
%ALLUSERSPROFILE%\documents\my music\svchost.exe
%WINDIR%\svchost.exe
<SYSTEM32>\angle.exe
%ALLUSERSPROFILE%\documents\my music\angle.exe
%ALLUSERSPROFILE%\start menu\programs\startup\msmsgs.exe
%WINDIR%\ziprar.exe
%ALLUSERSPROFILE%\documents\my pictures\messenger.exe
%ALLUSERSPROFILE%\documents\my pictures\wmplayer.exe
%ALLUSERSPROFILE%\documents\my pictures\iexplore.exe
%ALLUSERSPROFILE%\documents\my pictures\jpg.exe
<Имя диска съемного носителя>:\skypesetup'.exe
<Имя диска съемного носителя>:\calc'.exe
<Имя диска съемного носителя>:\utorrent'.exe
<Имя диска съемного носителя>:\~'.exe

Подменяет следующие файлы

%ALLUSERSPROFILE%\documents\my pictures\svchost.exe
%ALLUSERSPROFILE%\documents\my music\svchost.exe
%WINDIR%\svchost.exe
<SYSTEM32>\angle.exe
%ALLUSERSPROFILE%\documents\my music\angle.exe
%WINDIR%\ziprar.exe
%ALLUSERSPROFILE%\documents\my pictures\messenger.exe
%ALLUSERSPROFILE%\documents\my pictures\wmplayer.exe
%ALLUSERSPROFILE%\documents\my pictures\iexplore.exe
%ALLUSERSPROFILE%\documents\my pictures\jpg.exe
<Имя диска съемного носителя>:\skypesetup'.exe
<Имя диска съемного носителя>:\calc'.exe
<Имя диска съемного носителя>:\utorrent'.exe
<Имя диска съемного носителя>:\~'.exe

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\documents\my pictures\svchost.exe'
'%ALLUSERSPROFILE%\start menu\programs\startup\msmsgs.exe'
'<SYSTEM32>\angle.exe'
'%ALLUSERSPROFILE%\documents\my pictures\wmplayer.exe'
'<SYSTEM32>\reg.exe' export HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srservice %WINDIR%\regedit.reg' (со скрытым окном)
'%ProgramFiles%\winrar\rar.exe' a -ao -ep "%ALLUSERSPROFILE%\Documents\My Music\angle.Zip" "%ALLUSERSPROFILE%\Documents\My Music\angle.eXe"' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\reg.exe' export HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srservice %WINDIR%\regedit.reg
'%ProgramFiles%\winrar\rar.exe' a -ao -ep "%ALLUSERSPROFILE%\Documents\My Music\angle.Zip" "%ALLUSERSPROFILE%\Documents\My Music\angle.eXe"

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней