Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe,<SYSTEM32>\vvqtr.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\mgtrbmh.exe 205471
- %WINDIR%\system\lass32.exe
- <SYSTEM32>\vvqtr.exe
- %WINDIR%\Cursors\ff2.exe
- %WINDIR%\Cursors\ff1.exe
- %WINDIR%\Cursors\ff3.exe
- <SYSTEM32>\mgtrbmh.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\reg.exe Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
- <SYSTEM32>\reg.exe Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
- <SYSTEM32>\reg.exe Add "HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell" /t "REG_SZ" /d "explorer.exe,<SYSTEM32>\vvqtr.exe" /f
- <SYSTEM32>\reg.exe Add "HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6555D5C4-056E-4014-AC4D-6C73D9C7A331}"
- <SYSTEM32>\taskkill.exe /f /im rstray.exe
- <SYSTEM32>\taskkill.exe /f /pid 3140
- <SYSTEM32>\net.exe stop sharedaccess
- <SYSTEM32>\net1.exe stop sharedaccess
- <SYSTEM32>\attrib.exe +s +h "<SYSTEM32>\vvqtr.exe"
- <SYSTEM32>\ping.exe 127.1
- <SYSTEM32>\cmd.exe /c %WINDIR%\system\803.4784.bat
- <SYSTEM32>\wscript.exe "%WINDIR%\cursors\ff.vbs"
- <SYSTEM32>\cmd.exe /c <SYSTEM32>\542.4921.bat
- <SYSTEM32>\cmd.exe /c <SYSTEM32>\kpcvlv.bat
- <SYSTEM32>\ping.exe -n 3 127.0.0.1
- <SYSTEM32>\ping.exe -a 127.1
- <SYSTEM32>\cmd.exe /c <SYSTEM32>\ranvzup.bat
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\vvqtr.exe
- %WINDIR%\system\lass32.exe
- <SYSTEM32>\ranvzup.bat
- <SYSTEM32>\kpcvlv.bat
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cpmlist2[1].txt
- %WINDIR%\system\cpmlist2.txt
- %HOMEPATH%\Start Menu\Programs\Internet Explorer.lnk
- %HOMEPATH%\Desktop\Internet Explorer.lnk
- %WINDIR%\Cursors\ff1.exe
- %WINDIR%\Cursors\ff2.exe
- %WINDIR%\Cursors\ff.vbs
- %WINDIR%\Cursors\ff3.exe
- %WINDIR%\system\803.4784.bat
- <SYSTEM32>\mgtrbmh.exe
- <SYSTEM32>\vvqtr.dll
- <SYSTEM32>\542.4921.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\vvqtr.exe
Удаляет следующие файлы:
- %WINDIR%\Cursors\ff3.exe
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk
- %WINDIR%\Cursors\ff2.exe
- %TEMP%\~DF7566.tmp
- %WINDIR%\Cursors\ff1.exe
Сетевая активность:
Подключается к:
- 'localhost':1041
- 'localhost':1042
- 'do####adpoint.cn':80
- 'www.xz###vc.net.cn':80
- 'localhost':1038
TCP:
Запросы HTTP GET:
- do####adpoint.cn/tongji/post.asp?id############################
- do####adpoint.cn/cpmlist2.txt
- www.xz###vc.net.cn/nba/image.jpg
UDP:
- DNS ASK do####adpoint.cn
- DNS ASK www.xz###vc.net.cn
Другое:
Ищет следующие окна:
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'Progman' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
