Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{V1RG30J2-F01V-34F2-MSKJ-2U4M36N81MC5}] 'StubPath' = '<SYSTEM32>\Microsoft_KB32XZ9\microsoft_b.exe Restart'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{V1RG30J2-F01V-34F2-MSKJ-2U4M36N81MC5}] 'StubPath' = ''
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{V1RG30J2-F01V-34F2-MSKJ-2U4M36N81MC5}] 'StubPath' = '%APPDATA%\Microsoft_KB32XZ9\microsoft_b.exe Restart'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'HKCU' = ''
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'Policies' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Policies' = ''
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HKLM' = ''
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\e8G94pVk9Tm.exe
Вредоносные функции:
Создает и запускает на исполнение:
- <LS_APPDATA>\Xenocode\Sandbox\1.0.0.0\2011.04.18T21.56\Native\STUBEXE\@PROGRAMFILES@\Internet Explorer\iexplore.exe
- <LS_APPDATA>\Xenocode\Sandbox\1.0.0.0\2011.04.18T21.56\Native\STUBEXE\@PROFILE@\Local Settings\Temp\nsh2.tmp\ymsgr_suite_setup.exe /yfn=kDtw3D93wAr9G.exe /ybsini=%TEMP%\nsh2.tmp\BOOTST~1.INI
- <LS_APPDATA>\Xenocode\Sandbox\1.0.0.0\2011.04.18T21.56\Native\STUBEXE\@SYSTEM@\dwwin.exe -x -s 564
- <SYSTEM32>\Microsoft_KB32XZ9\microsoft_b.exe
- <LS_APPDATA>\Xenocode\Sandbox\1.0.0.0\2011.04.18T21.56\Virtual\STUBEXE\@APPDIR@\Copy of t23.exe
- <LS_APPDATA>\Xenocode\Sandbox\1.0.0.0\2011.04.18T21.56\Native\STUBEXE\@PROFILE@\Local Settings\Temp\UWdqtP7PKU3.exe
- <LS_APPDATA>\Xenocode\Sandbox\1.0.0.0\2011.04.18T21.56\Native\STUBEXE\@PROFILE@\Local Settings\Temp\kDtw3D93wAr9G.exe
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\XxX.xXx
- %TEMP%\UuU.uUu
- %APPDATA%\logs.dat
- %TEMP%\nsf4.tmp\InetLoad_vms.dll
- %APPDATA%\Microsoft_KB32XZ9\microsoft_b.exe
- %TEMP%\Temporary Internet Files\Content.IE5\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\S3GLUX25\desktop.ini
- %TEMP%\History\History.IE5\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\OXEJ4TMB\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\G6Y96S6U\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\I56TC9OF\desktop.ini
- %TEMP%\nsh2.tmp\System.dll
- <SYSTEM32>\Microsoft_KB32XZ9\microsoft_b.exe
- %TEMP%\kDtw3D93wAr9G.exe
- %TEMP%\UWdqtP7PKU3.exe
- %TEMP%\nsh2.tmp\bootstrap.ini
- %TEMP%\nsh2.tmp\YExecShell.dll
- %TEMP%\nsf4.tmp\System.dll
- %TEMP%\nsh2.tmp\ymsgr_suite_setup.exe
- %TEMP%\nsh2.tmp\Base64.dll
- %TEMP%\XX--XX--XX.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\Temporary Internet Files\Content.IE5\OXEJ4TMB\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\S3GLUX25\desktop.ini
- %TEMP%\History\History.IE5\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\I56TC9OF\desktop.ini
- %APPDATA%\logs.dat
- %TEMP%\Temporary Internet Files\Content.IE5\desktop.ini
- %TEMP%\Temporary Internet Files\Content.IE5\G6Y96S6U\desktop.ini
Удаляет следующие файлы:
- %TEMP%\XxX.xXx
- %TEMP%\c01d_appcompat.txt
- %TEMP%\UuU.uUu
- <SYSTEM32>\Microsoft_KB32XZ9\microsoft_b.exe
- %TEMP%\XX--XX--XX.txt
Сетевая активность:
Подключается к:
- 'mu####ex.no-ip.biz':81
UDP:
- DNS ASK mu####ex.no-ip.biz
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
