Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'wminit' = '%CommonProgramFiles%\System\wminit.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %CommonProgramFiles%\System\wminit.exe "<Полный путь к вирусу>"
Запускает на исполнение:
- <SYSTEM32>\sc.exe config SharedAccess start=disabled
- <SYSTEM32>\net1.exe stop Alerter
- <SYSTEM32>\net1.exe stop SharedAccess
- <SYSTEM32>\net1.exe stop wscsvc
- <SYSTEM32>\net.exe stop SharedAccess
- <SYSTEM32>\sc.exe config Alerter start=disabled
- <SYSTEM32>\net.exe stop Alerter
- <SYSTEM32>\sc.exe config wscsvc start=disabled
- <SYSTEM32>\net.exe stop wscsvc
Изменения в файловой системе:
Создает следующие файлы:
- %CommonProgramFiles%\System\wminit.exe
- %CommonProgramFiles%\System\wminit.dat
Самоудаляется.
Сетевая активность:
Подключается к:
- '64.#6.64.13':53102
- 't1###18191.org':53100
- '64.#6.64.13':53105
- 't1###18191.net':53100
- '64.#6.64.13':53106
- 't1###18191.info':53100
- 't1###18190.net':53100
- '64.#6.64.13':53108
- '64.#6.64.13':53103
- '64.#6.64.13':53101
- 't1###18190.info':53100
- '64.#6.64.13':53109
- 't1###18190.com':53100
- 't1###18191.com':53100
- 't1###18190.org':53100
- '64.#6.64.13':53107
- '64.#6.64.13':53104
- '64.#6.64.13':53110
UDP:
- DNS ASK t1###18191.org
- DNS ASK t1###18191.net
- DNS ASK t1###18190.net
- DNS ASK t1###18191.info
- DNS ASK t1###18190.info
- DNS ASK t1###18190.com
- DNS ASK t1###18190.org
- DNS ASK t1###18191.com
