Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:<Имя вируса>.exe'
Создает и запускает на исполнение:
- %CommonProgramFiles%\Microsoft Shared\DAO\wuauclv.exe
- %TEMP%\V1009.exe
- %TEMP%\setop3010.exe
Запускает на исполнение:
- <SYSTEM32>\sc.exe config UI0Detect start= disabled
- <SYSTEM32>\sc.exe stop UI0Detect
- <SYSTEM32>\cmd.exe /c %TEMP%\_tmp53.bat
Изменения в файловой системе:
Создает следующие файлы:
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\K5AJ012J\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\KOEBJS8G\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\KOEBJS8G\smartmain[1].php
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\A8Z5UGI7\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\PNR72QS2\desktop.ini
- %CommonProgramFiles%\Microsoft Shared\DAO\olesmartreport.txt
- %TEMP%\V1009.exe
- %TEMP%\setop3010.exe
- %TEMP%\_tmp53.bat
- %CommonProgramFiles%\Microsoft Shared\DAO\wuauclv.exe
- %CommonProgramFiles%\Microsoft Shared\DAO\DAO718.dll
- %TEMP%\smartbom.hiv
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\PNR72QS2\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\A8Z5UGI7\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\KOEBJS8G\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\K5AJ012J\desktop.ini
Удаляет следующие файлы:
- %TEMP%\smartbom.hiv
Сетевая активность:
Подключается к:
- 'localhost':1039
- '21#.#57.110.182':80
- 'd1.##wnxia.net':80
- 'd2.##wnxia.net':80
TCP:
Запросы HTTP GET:
- 21#.#57.110.182/smart/smartmain.php?ty###################################################################################
- d2.##wnxia.net/?id#############
- d1.##wnxia.net/jpdesk/20101201/jpdesk_3010_Setup.exe
UDP:
- DNS ASK d2.##wnxia.net
- DNS ASK we#.##oye123.net
- DNS ASK d1.##wnxia.net
- DNS ASK c1.##d3322.com
- DNS ASK s.##.ivc.cn
- DNS ASK ma##.#td3322.com
- 'c1.##d3322.com':7788
- 's.##.ivc.cn':4475
- 'ma##.#td3322.com':7788
- 'we#.##oye123.net':8899
Другое:
Ищет следующие окна:
- ClassName: 'Maxthon2_View' WindowName: ''
- ClassName: 'XFrame_Wnd' WindowName: ''
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'Container' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'TCnNuoIEBrowser' WindowName: ''
- ClassName: 'TT_WebCtrl' WindowName: ''
- ClassName: 'SE_AxControl' WindowName: ''
