Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '<SYSTEM32>\scvhost.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Generic Host Process' = '<SYSTEM32>\scvhost.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'Explorer.exe <SYSTEM32>\scvhost.exe'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '<SYSTEM32>\scvhost.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup1' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP001.TMP\"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices] 'Generic Host Process' = '<SYSTEM32>\scvhost.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Generic Host Process' = '<SYSTEM32>\scvhost.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet003\Services\SharedAccess] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SENS] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet002\Services\SharedAccess] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet002\Services\SENS] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet002\Services\Nla] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet003\Services\Nla] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet003\Services\SENS] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\Nla] 'Start' = '00000000'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Интерпретатора командной строки (CMD)
- Редактора реестра (RegEdit)
блокирует:
- Компонент восстановления системы (SR)
Создает и запускает на исполнение:
- %TEMP%\IXP001.TMP\server.exe
- %TEMP%\IXP000.TMP\server.exe
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c <SYSTEM32>\del32.bat
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://
Завершает или пытается завершить
следующие пользовательские процессы:
- mpftray.exe
- NAVAPW32.EXE
- MCAGENT.EXE
- GUARD.EXE
- gw.exe
- zapro.exe
- ZONEALARM.EXE
- smc.exe
- nod32.exe
- outpost.exe
- AVP32.EXE
- AVPCC.EXE
- AVP.EXE
- AVGCC32.EXE
- AVGCTRL.EXE
- fsav32.exe
- ge.exe
- ccapp.exe
- AVPM.EXE
- AVSYNMGR.EXE
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\del32.bat
- <SYSTEM32>\scvhost.exe
- <SYSTEM32>\ckl009.dat
- <SYSTEM32>\wsock32.sys
- %TEMP%\IXP000.TMP\server.exe
- %TEMP%\IXP001.TMP\server.exe
- <SYSTEM32>\9K883L5CFL.ini
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\scvhost.exe
- <SYSTEM32>\9K883L5CFL.ini
Удаляет следующие файлы:
- <SYSTEM32>\scvhost.exe
- %TEMP%\IXP000.TMP\server.exe
- <SYSTEM32>\9K883L5CFL.ini
- %TEMP%\IXP001.TMP\server.exe
- <SYSTEM32>\wsock32.sys
Сетевая активность:
Подключается к:
- 'localhost':1039
- 'mz####123.no-ip.org':314
- 'localhost':1037
- 'localhost':1038
UDP:
- DNS ASK mz####123.no-ip.org
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: 'System Configuration Utility'
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'CabinetWClass' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: '' WindowName: 'Outpost Firewall Pro - configuration1.cfg'
- ClassName: '' WindowName: 'Outpost Firewall Pro (Service Mode) - configuration1.cfg'
- ClassName: '#32770' WindowName: 'Windows Security Alert'
- ClassName: '#32770' WindowName: 'Warning: Components Have Changed'
- ClassName: '' WindowName: 'BlackICE PC Protection'
- ClassName: '#32770' WindowName: 'Sygate Personal Firewall'
- ClassName: 'ThunderRT6FormDC' WindowName: 'nkoppl223a'
- ClassName: '' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '#32770' WindowName: 'Windows Task Manager'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
