Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '' = '"%WINDIR%\TestApp.exe" -servicehelper'
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\TestApp.exe -service
- %WINDIR%\TestApp.exe
- %TEMP%\winvnc.exe -setup
Запускает на исполнение:
- <SYSTEM32>\net1.exe start "ServiceName"
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\LanguageEN.ini
- %WINDIR%\LanguageGB.ini
- %WINDIR%\ldapauth.dll
- %WINDIR%\workgrpdomnt4.dll
- %WINDIR%\authadmin.dll
- %WINDIR%\authSSP.dll
- %WINDIR%\ldapauth9x.dll
- %WINDIR%\removeserver.bat
- %WINDIR%\TestApp.ini
- %WINDIR%\TestApp.exe
- %WINDIR%\ldapauthnt4.dll
- %WINDIR%\logging.dll
- %WINDIR%\MSLogonACL.exe
- %TEMP%\removeserver.bat
- %TEMP%\authSSP.dll
- %TEMP%\ldapauth.dll
- %TEMP%\ldapauth9x.dll
- %TEMP%\MSLogonACL.exe
- %TEMP%\winvnc.exe
- %TEMP%\authadmin.dll
- %TEMP%\ldapauthnt4.dll
- %TEMP%\LanguageGB.ini
- %TEMP%\setup.bat
- %TEMP%\winvnc.ini
- %TEMP%\logging.dll
- %TEMP%\workgrpdomnt4.dll
- %TEMP%\LanguageEN.ini
Удаляет следующие файлы:
- %TEMP%\MSLogonACL.exe
- %TEMP%\logging.dll
- %TEMP%\ldapauthnt4.dll
- %TEMP%\winvnc.exe
- %TEMP%\winvnc.ini
- %TEMP%\removeserver.bat
- %TEMP%\ldapauth9x.dll
- %TEMP%\authSSP.dll
- %TEMP%\authadmin.dll
- %TEMP%\workgrpdomnt4.dll
- %TEMP%\ldapauth.dll
- %TEMP%\LanguageGB.ini
- %TEMP%\LanguageEN.ini
Сетевая активность:
Подключается к:
- 'ne###e911.cn':8000
- 'localhost':8100
UDP:
- DNS ASK Ne###e911.cn
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
