Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Active Setup\Installed Components\{Y479C6D0-OTRW-U5GH-S1EE-E0AC10B4E666}] 'StubPath' = '<SYSTEM32>\shell.bat'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\autorun.inf
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\kurdistan.ini
- %WINDIR%\syswow64\kurd.bat
- %WINDIR%\syswow64\kurd2.bat
- %WINDIR%\syswow64\winkurd.bmp
- <Текущая директория>\virus.bat
- %WINDIR%\syswow64\shell.bat
- %WINDIR%\syswow64\sulaemane.dll
- %WINDIR%\syswow64\k.vbe
- C:\autorun.inf
- D:\autorun.inf
Присваивает атрибут 'скрытый' для следующих файлов
- <Текущая директория>\virus.bat
- %WINDIR%\syswow64\k.vbe
- %WINDIR%\syswow64\kurd2.bat
- %WINDIR%\syswow64\shell.bat
- C:\autorun.inf
- D:\autorun.inf
- <Имя диска съемного носителя>:\autorun.inf
- %WINDIR%\syswow64\kurd.bat
Удаляет следующие файлы
- C:\autorun.inf
- D:\autorun.inf
- <Имя диска съемного носителя>:\autorun.inf
Подменяет следующие файлы
- C:\autorun.inf
- D:\autorun.inf
- <Имя диска съемного носителя>:\autorun.inf
Сетевая активность
TCP
Запросы HTTP GET
- http://ka####.webng.com/winkurd.bmp
- http://fr###sphost.net/winkurd.bmp
UDP
- DNS ASK ka####.webng.com
- DNS ASK fr###sphost.net
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\kurdistan.ini'
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysWOW64\kurd2.BAT' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c VIRUS.bat' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysWOW64\kurd.BAT' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysWOW64\kurd2.BAT
- '%WINDIR%\syswow64\attrib.exe' <SYSTEM32>\winlogons.exe +s +h
- '%WINDIR%\syswow64\attrib.exe' h:\AutoRun.inf +s +h
- '%WINDIR%\syswow64\attrib.exe' k:\AutoRun.inf +s +h
- '%WINDIR%\syswow64\attrib.exe' j:\AutoRun.inf +s +h
- '%WINDIR%\syswow64\attrib.exe' i:\AutoRun.inf +s +h
- '%WINDIR%\syswow64\attrib.exe' g:\AutoRun.inf +s +h
- '%WINDIR%\syswow64\attrib.exe' <Имя диска съемного носителя>:\AutoRun.inf +s +h
- '%WINDIR%\syswow64\attrib.exe' e:\AutoRun.inf +s +h
- '%WINDIR%\syswow64\attrib.exe' d:\AutoRun.inf +s +h
- '%WINDIR%\syswow64\attrib.exe' c:\AutoRun.inf +s +h
- '%WINDIR%\syswow64\attrib.exe' h:\kurd.exe +s +h
- '%WINDIR%\syswow64\attrib.exe' k:\kurd.exe +s +h
- '%WINDIR%\syswow64\attrib.exe' <SYSTEM32>\KURD.BAT +s +h
- '%WINDIR%\syswow64\attrib.exe' j:\kurd.exe +s +h
- '%WINDIR%\syswow64\attrib.exe' g:\kurd.exe +s +h
- '%WINDIR%\syswow64\attrib.exe' <Имя диска съемного носителя>:\kurd.exe +s +h
- '%WINDIR%\syswow64\attrib.exe' e:\kurd.exe +s +h
- '%WINDIR%\syswow64\attrib.exe' kurd.exe +s +h
- '%WINDIR%\syswow64\attrib.exe' d:\kurd.exe +s +h
- '%WINDIR%\syswow64\attrib.exe' c:\kurd.exe +s +h
- '%WINDIR%\syswow64\attrib.exe' <SYSTEM32>\shell.BAT +s +h
- '%WINDIR%\syswow64\attrib.exe' <SYSTEM32>\kurd2.BAT +s +h
- '%WINDIR%\syswow64\attrib.exe' <SYSTEM32>\k.vbe +s +h
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\SysWOW64\kurd.BAT
- '%WINDIR%\syswow64\attrib.exe' kurd.exe -s -h
- '%WINDIR%\syswow64\cmd.exe' /c VIRUS.bat
- '%WINDIR%\syswow64\attrib.exe' i:\kurd.exe +s +h
- '%WINDIR%\syswow64\wscript.exe' "<SYSTEM32>\k.vbe"
