Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\Splhlp] 'Name' = '%ALLUSERSPROFILE%\Documents\b.dll'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Inoyikotadoqev' = 'rundll32.exe "%WINDIR%\cmdirntz.dll",Startup'
- [<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\665744104] 'Name' = '%TEMP%\5.tmp'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\winlogon.exe файлом <SYSTEM32>\temp.tmp
- <SYSTEM32>\dllcache\explorer.exe файлом <SYSTEM32>\temp.tmp
- %WINDIR%\explorer.exe файлом %WINDIR%\temp.tmp
- <SYSTEM32>\winlogon.exe файлом <SYSTEM32>\temp.tmp
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\nqefjkh.exe
- %TEMP%\gorki.exe
- %TEMP%\kmhweee.exe
- %TEMP%\kpob.exe
- %TEMP%\qncsb.exe
- %TEMP%\aroyba.exe
- %TEMP%\wwqlg.exe
- %TEMP%\gyjh.exe
- %TEMP%\-1998166001
- %TEMP%\omvoj.exe
- %TEMP%\nsf3.tmp\1EuroP.exe
- %TEMP%\rspwqxk.exe
- %TEMP%\nsf3.tmp\7Rich.exe
- %TEMP%\nsf3.tmp\3E4U - Old.exe
- %TEMP%\nsf3.tmp\2IC.exe
- %TEMP%\nsf3.tmp\6tbp.exe
- %TEMP%\nsf3.tmp\exrev.exe
- %TEMP%\iuvrsmb.exe
- %TEMP%\aroyba.exe (загружен из сети Интернет)
- %TEMP%\wwqlg.exe (загружен из сети Интернет)
- %TEMP%\gyjh.exe (загружен из сети Интернет)
- %TEMP%\omvoj.exe (загружен из сети Интернет)
- %TEMP%\kpob.exe (загружен из сети Интернет)
- %TEMP%\kmhweee.exe (загружен из сети Интернет)
- %TEMP%\rspwqxk.exe (загружен из сети Интернет)
- %TEMP%\qncsb.exe (загружен из сети Интернет)
- %TEMP%\gorki.exe (загружен из сети Интернет)
- %TEMP%\-1998166001 (загружен из сети Интернет)
- %TEMP%\nqefjkh.exe (загружен из сети Интернет)
- %TEMP%\iuvrsmb.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe "%WINDIR%\cmdirntz.dll",iep
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\rundll32.exe "%WINDIR%\cmdirntz.dll",Startup
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\spoolsv.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\gorki.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\dreiizm[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\cpdqhuu[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ererijznnr[1].php
- %TEMP%\-1998166001
- %TEMP%\nqefjkh.exe
- %TEMP%\qncsb.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\veivm[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\fsggtxx[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\xklypptgx[1].php
- %TEMP%\kmhweee.exe
- %TEMP%\wwqlg.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\zmmmdq[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\xlycctxmj[1].php
- %WINDIR%\amiviker.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\CA18G7TP.php
- %TEMP%\aroyba.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\nabfswwnn[1].php
- %TEMP%\omvoj.exe
- %TEMP%\gyjh.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\oxybcg[1].php
- %TEMP%\Aqz..bat
- %TEMP%\kpob.exe
- %TEMP%\4.tmp
- %TEMP%\nsf3.tmp\7Rich.exe
- %WINDIR%\cmdirntz.dll
- %WINDIR%\Temp\6.tmp
- %TEMP%\nsf3.tmp\6tbp.exe
- %TEMP%\nsf3.tmp\exrev.exe
- %TEMP%\nsu2.tmp
- %TEMP%\nsf3.tmp\1EuroP.exe
- %TEMP%\nsf3.tmp\3E4U - Old.exe
- %TEMP%\nsf3.tmp\2IC.exe
- %TEMP%\rspwqxk.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\sfsswwaoef[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\qanarmz[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ciivvmnd[1].php
- %TEMP%\iuvrsmb.exe
- <SYSTEM32>\temp.tmp
- %ALLUSERSPROFILE%\Documents\b.dll
- %ALLUSERSPROFILE%\Documents\dll
- <SYSTEM32>\dll
- %WINDIR%\temp.tmp
- <SYSTEM32>\b.dll
Удаляет следующие файлы:
- %ALLUSERSPROFILE%\Documents\dll
- %TEMP%\5.tmp
- %ALLUSERSPROFILE%\Documents\b.dll
- <SYSTEM32>\svchost.exe
- %WINDIR%\Temp\6.tmp
- %TEMP%\nsf3.tmp\exrev.exe
- %TEMP%\nsf3.tmp\2IC.exe
- %TEMP%\nsf3.tmp\1EuroP.exe
- %TEMP%\nsf3.tmp\3E4U - Old.exe
- %TEMP%\nsf3.tmp\7Rich.exe
- %TEMP%\nsf3.tmp\6tbp.exe
Перемещает следующие системные файлы:
- <SYSTEM32>\winlogon.exe в %WINDIR%\Temp\winlogon.dat
- %WINDIR%\explorer.exe в %WINDIR%\Temp\explorer.dat
Перемещает следующие файлы:
- %TEMP%\4.tmp в %TEMP%\5.tmp
Сетевая активность:
Подключается к:
- 'localhost':1040
- '03######0902.truminfi.com':80
- 'bo###rspot.in':80
- 'ab###tel.com':80
TCP:
Запросы HTTP GET:
- ab###tel.com/pdzqq/nabfswwnn.php?ad####################################
- ab###tel.com/pdzqq/ererijznnr.php?ad####################################
- ab###tel.com/pdzqq/cpdqhuu.php?ad####################################
- ab###tel.com/pdzqq/xlycctxmj.php?ad##################################################################
- ab###tel.com/pdzqq/zmmmdq.php?ad####################################
- ab###tel.com/pdzqq/oxybcg.php?ad####################################
- ab###tel.com/pdzqq/dreiizm.php?ad####################################
- ab###tel.com/pdzqq/ciivvmnd.php?ad####################################
- ab###tel.com/pdzqq/qanarmz.php?ad####################################
- ab###tel.com/pdzqq/sfsswwaoef.php?ad####################################
- ab###tel.com/pdzqq/xklypptgx.php?ad####################################
- ab###tel.com/pdzqq/fsggtxx.php?ad####################################
- ab###tel.com/pdzqq/veivm.php?ad####################################
UDP:
- DNS ASK ab###tel.com
- DNS ASK 03######0902.truminfi.com
- DNS ASK bo###rspot.in
- DNS ASK ma###ble.com
- DNS ASK pa###poker.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'CSCHiddenWindow' WindowName: ''
