Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\windll64] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\binconf] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- C:\WINNT\system32\directx\asp\mech\FireDaemon.exe -i windll64 "C:\WINNT\system32\directx\asp\mech" "C:\WINNT\system32\directx\asp\mech\asp.exe" "C:\WINNT\system32\directx\asp\mech\serv-u.ini" N 0 0 Y Y
- C:\WINNT\system32\directx\asp\mech\cygmech.exe
- C:\WINNT\system32\directx\asp\mech\asp.exe C:\WINNT\system32\directx\asp\mech\serv-u.ini
- C:\WINNT\system32\directx\asp\mech\FireDaemon.exe -i binconf "C:\WINNT\system32\directx\asp\mech" "C:\WINNT\system32\directx\asp\mech\cygmech.exe" "C:\WINNT\system32\directx\asp\mech\mech.set" N 0 0 Y Y
- C:\WINNT\system32\directx\asp\mech\FireDaemon.exe
- C:\WINNT\system32\directx\asp\mech\cygmech.exe C:\WINNT\system32\directx\asp\mech\mech.set
Запускает на исполнение:
- <SYSTEM32>\net1.exe start windll64
- <SYSTEM32>\net1.exe start binconf
- <SYSTEM32>\cmd.exe /c ""C:\WINNT\system32\directx\asp\mech\startin.bat" "
Изменения в файловой системе:
Создает следующие файлы:
- C:\WINNT\system32\directx\asp\mech\mech.set
- C:\WINNT\system32\directx\asp\mech\startin.bat
- C:\WINNT\system32\directx\asp\mech\emech2.users
- C:\WINNT\system32\directx\asp\mech\emech.users
- C:\WINNT\system32\directx\asp\mech\mech.help
- C:\WINNT\system32\directx\asp\mech\FireDaemon.exe
- C:\WINNT\system32\directx\asp\mech\mech.pid
- C:\WINNT\system32\directx\asp\mech\mech.levels
- %TEMP%\WER9bb3.dir00\FireDaemon.EXE.hdmp
- %TEMP%\WER9bb3.dir00\FireDaemon.EXE.mdmp
- %TEMP%\WER9bb3.dir00\manifest.txt
- %TEMP%\WER9bb3.dir00\appcompat.txt
- %TEMP%\WER8434.dir00\FireDaemon.EXE.hdmp
- %TEMP%\WER8434.dir00\FireDaemon.EXE.mdmp
- %TEMP%\WER8434.dir00\manifest.txt
- %TEMP%\WER8434.dir00\appcompat.txt
- C:\WINNT\system32\directx\asp\mech\randfiles\randinsult.e
- C:\WINNT\system32\directx\asp\mech\randfiles\randaway.e
- C:\WINNT\system32\directx\asp\mech\randfiles\randnicks.e
- C:\WINNT\system32\directx\asp\mech\randfiles\randkicks.e
- C:\WINNT\system32\directx\asp\mech\mech_debug.bat
- C:\WINNT\system32\directx\asp\mech\mech_debug2.bat
- C:\WINNT\system32\directx\asp\mech\Weclome.ini
- C:\WINNT\system32\directx\asp\mech\serv-u.ini
- C:\WINNT\system32\directx\asp\mech\cygmech2.exe
- C:\WINNT\system32\directx\asp\mech\asp.exe
- C:\WINNT\system32\directx\asp\mech\cygwin1.dll
- C:\WINNT\system32\directx\asp\mech\cygmech.exe
- C:\WINNT\system32\directx\asp\mech\randfiles\randsay.e
- C:\WINNT\system32\directx\asp\mech\randfiles\randpickup.e
- C:\WINNT\system32\directx\asp\mech\randfiles\randversions.e
- C:\WINNT\system32\directx\asp\mech\randfiles\randsignoff.e
Сетевая активность:
Подключается к:
- 'localhost':1099
- 'localhost':1096
- 'localhost':1105
- 'localhost':1102
- 'localhost':1093
- 'localhost':1084
- 'localhost':1081
- 'localhost':1090
- 'localhost':1087
- 'localhost':1123
- 'localhost':1120
- 'localhost':1128
- 'localhost':1126
- 'localhost':1118
- 'localhost':1110
- 'localhost':1108
- 'localhost':1115
- 'localhost':1112
- 'localhost':1078
- 'za####.#r.eu.undernet.org':6667
- 'localhost':1045
- 'localhost':1049
- 'he######.fi.eu.undernet.org':6667
- '21#.#31.131.150':6667
- '21#.#8.150.1':6667
- '20#.#7.60.33':6667
- '19#.#34.7.195':6667
- 'localhost':1040
- 'localhost':1069
- 'localhost':1067
- 'localhost':1075
- 'localhost':1072
- 'localhost':1063
- 'localhost':1054
- 'localhost':1051
- 'localhost':1059
- 'localhost':1057
UDP:
- DNS ASK za####.#r.eu.undernet.org
- DNS ASK He######.FI.EU.Undernet.org
- DNS ASK up####.energymech.net
- 'up####.energymech.net':9969
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
