Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\wss.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\wss\wss.exe -restart -id:0
Запускает на исполнение:
- <SYSTEM32>\svchost.exe
Внедряет код в
следующие пользовательские процессы:
- opera.exe
- msnmsgr.exe
- skype.exe
- outpost.exe
- firefox.exe
- chrome.exe
- iexplore.exe
- ICQ.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\wss\w1.png
- %APPDATA%\wss\w2.png
- %APPDATA%\wss\t02.png
- %APPDATA%\wss\update.png
- %APPDATA%\wss\w3.png
- %APPDATA%\wss\warning_popup_072.png
- %APPDATA%\wss\warning_popup_200.png
- %APPDATA%\wss\w4.png
- %APPDATA%\wss\w5.png
- %APPDATA%\wss\off.png
- %APPDATA%\wss\on.png
- %APPDATA%\wss\logo.png
- %APPDATA%\wss\m.png
- %APPDATA%\wss\progressbar.gif
- %APPDATA%\wss\scan_res_icon.png
- %APPDATA%\wss\t01.png
- %APPDATA%\wss\progressbar_bg_1.gif
- %APPDATA%\wss\prot.png
- %APPDATA%\wss\h1.png
- %APPDATA%\wss\l2.png
- %APPDATA%\wss\u12.png
- %APPDATA%\wss\l.png
- %APPDATA%\wss\activate1.png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\update[1].htm
- %APPDATA%\wss\activate2.png
- %APPDATA%\wss\g.png
- %APPDATA%\wss\_005.png
- %APPDATA%\wss\_006.png
- %APPDATA%\wss\_001.png
- %APPDATA%\wss\_002.png
- %APPDATA%\wss\_007.png
- %APPDATA%\wss\_ico3.png
- %APPDATA%\wss\up.png
- %APPDATA%\wss\_ico1.png
- %APPDATA%\wss\_ico2.png
- %APPDATA%\wss\at.png
- %APPDATA%\wss\balloon_174.png
- %APPDATA%\wss\activate_hdr_2.png
- %APPDATA%\wss\activate_hdr_bg.png
- %APPDATA%\wss\balloon_201.png
- %APPDATA%\wss\blank.gif
- %APPDATA%\wss\block_p_01.png
- %APPDATA%\wss\bg_button_a.png
- %APPDATA%\wss\bg_button_span.png
- %HOMEPATH%\Start Menu\Programs\wss\wss.lnk
- %HOMEPATH%\Start Menu\Programs\wss\wss Uninstall.lnk
- %APPDATA%\.csrss
- %PROGRAM_FILES%\wss\wss.exe
- %APPDATA%\.736EE347-1C48-407D-9A15-13FBDE47080F
- %APPDATA%\wss\activate_03.png
- %APPDATA%\wss\activate_hdr_1.png
- %APPDATA%\wss\activate_01.png
- %APPDATA%\wss\activate_02.png
- %APPDATA%\wss\filder.png
- %APPDATA%\wss\header.png
- %APPDATA%\wss\defender_007.png
- %APPDATA%\wss\defender_008.png
- %APPDATA%\wss\i_1.png
- %APPDATA%\wss\level.png
- %APPDATA%\wss\loading.gif
- %APPDATA%\wss\i_2.png
- %APPDATA%\wss\i_3.png
- %APPDATA%\wss\critical_202.png
- %APPDATA%\wss\defender_001.png
- %APPDATA%\wss\block_p_03.png
- %APPDATA%\wss\blue.png
- %APPDATA%\wss\defender_002.png
- %APPDATA%\wss\defender_005.png
- %APPDATA%\wss\defender_006.png
- %APPDATA%\wss\defender_003.png
- %APPDATA%\wss\defender_004.png
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ge##sfn.com':80
TCP:
Запросы HTTP POST:
- ge##sfn.com/update.php?ve####
UDP:
- DNS ASK ge##sfn.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
