Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'safe360' = '%CommonProgramFiles%\sfbsbvy\coiome.exe'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im coiome.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im iejore.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im conime.exe /f
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles(x86)%\ubm.hta
- %CommonProgramFiles(x86)%\sfbsbvy\coiome.exe
- %HOMEPATH%\desktop\2345Гøö·µ¼º½.url
Удаляет следующие файлы
- %ProgramFiles(x86)%\ubm.hta
Самоудаляется.
Сетевая активность
UDP
- DNS ASK s.###6800.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%CommonProgramFiles(x86)%\sfbsbvy\coiome.exe'
- '%WINDIR%\syswow64\mshta.exe' "%ProgramFiles(x86)%\UBM.hta"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc delete HidServ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc stop HidServ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc delete IE_WinserverName' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc stop IE_WinserverName' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc delete LYTC' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc delete Messenger' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc stop Messenger' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc stop LYTC' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im conime.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im iejore.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc delete JavaServe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del "<Полный путь к файлу>"' (со скрытым окном)
- '%CommonProgramFiles(x86)%\sfbsbvy\coiome.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im coiome.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c cacls "C:\Documents and Settings\All Users\Application Data\Storm\update" /e /p everyone:n' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c cacls "%CommonProgramFiles%\Microsoft Shared\MSInfo" /e /p everyone:n' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\mshta.exe' "%ProgramFiles(x86)%\UBM.hta"
- '%WINDIR%\syswow64\cacls.exe' "C:\Documents and Settings\All Users\Application Data\Storm\update" /e /p everyone:n
- '%WINDIR%\syswow64\cmd.exe' /c cacls "C:\Documents and Settings\All Users\Application Data\Storm\update" /e /p everyone:n
- '%WINDIR%\syswow64\sc.exe' delete HidServ
- '%WINDIR%\syswow64\cmd.exe' /c sc delete HidServ
- '%WINDIR%\syswow64\sc.exe' stop HidServ
- '%WINDIR%\syswow64\cmd.exe' /c sc stop HidServ
- '%WINDIR%\syswow64\sc.exe' delete IE_WinserverName
- '%WINDIR%\syswow64\cmd.exe' /c sc delete IE_WinserverName
- '%WINDIR%\syswow64\sc.exe' stop IE_WinserverName
- '%WINDIR%\syswow64\cmd.exe' /c sc stop IE_WinserverName
- '%WINDIR%\syswow64\sc.exe' delete LYTC
- '%WINDIR%\syswow64\cmd.exe' /c cacls "%CommonProgramFiles%\Microsoft Shared\MSInfo" /e /p everyone:n
- '%WINDIR%\syswow64\sc.exe' delete Messenger
- '%WINDIR%\syswow64\sc.exe' stop Messenger
- '%WINDIR%\syswow64\cmd.exe' /c sc delete Messenger
- '%WINDIR%\syswow64\cmd.exe' /c sc stop Messenger
- '%WINDIR%\syswow64\sc.exe' stop LYTC
- '%WINDIR%\syswow64\sc.exe' delete JavaServe
- '%WINDIR%\syswow64\cmd.exe' /c sc stop LYTC
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im conime.exe /f
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im iejore.exe /f
- '%WINDIR%\syswow64\cmd.exe' /c sc delete JavaServe
- '%WINDIR%\syswow64\cmd.exe' /c del "<Полный путь к файлу>"
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im coiome.exe /f
- '%WINDIR%\syswow64\cmd.exe' /c sc delete LYTC
- '%WINDIR%\syswow64\cacls.exe' "%CommonProgramFiles%\Microsoft Shared\MSInfo" /e /p everyone:n
