Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe,%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\note\notepadnote.exe,'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '34d91dfb34a7283483d0aaba9d10147d' = '%WINDIR%\Microsoft\svchost.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\note\notepadnote.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\centourismeadddynamicoptional001.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\svchost.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\worm.exe
- <Имя диска съемного носителя>:\autorun.inf
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие пользовательские процессы:
- notepadnote.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- D:\autorun.inf
- D:\worm.exe
- C:\autorun.inf
- C:\worm.exe
- %HOMEPATH%\documents\my videos\autorun.inf
- %HOMEPATH%\documents\my videos\worm.exe
- %TEMP%\notepadmapdskjlkdf.txt
- %HOMEPATH%\documents\my pictures\autorun.inf
- %HOMEPATH%\documents\my music\autorun.inf
- %HOMEPATH%\documents\my music\worm.exe
- %TEMP%\blackdata.dat
- %WINDIR%\microsoft\svchost.exe
- %APPDATA%\microsoft\windows\templates\controllerfinallineballinglove33.webredirect.exe
- %APPDATA%\microsoft\windows\start menu\new-client 1lluv51.exe
- %HOMEPATH%\documents\my pictures\worm.exe
- %TEMP%\notepadmapdskjlkdf.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\microsoft\svchost.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\svchost.exe
- %TEMP%\blackdata.dat
- %HOMEPATH%\documents\my music\worm.exe
- %HOMEPATH%\documents\my music\autorun.inf
- %HOMEPATH%\documents\my pictures\worm.exe
- %HOMEPATH%\documents\my pictures\autorun.inf
- %HOMEPATH%\documents\my videos\worm.exe
- %HOMEPATH%\documents\my videos\autorun.inf
- C:\worm.exe
- C:\autorun.inf
- D:\worm.exe
- D:\autorun.inf
- <Имя диска съемного носителя>:\worm.exe
- <Имя диска съемного носителя>:\autorun.inf
Сетевая активность
Подключается к
- 'an####ciabeach.net':80
- 'ce###########ddynamicoptional001.loseyourip.com':2404
- 'Co############llineballinglove33.webredirect.org':8127
- 'pa###bin.com':443
- 'ce###########ddynamicoptional001.loseyourip.com':6669
TCP
- 'ce###########ddynamicoptional001.loseyourip.com':2404
- 'ce###########ddynamicoptional001.loseyourip.com':8127
- 'pa###bin.com':443
- 'ce###########ddynamicoptional001.loseyourip.com':6669
UDP
- DNS ASK an####ciabeach.net
- DNS ASK ce###########ddynamicoptional001.loseyourip.com
- DNS ASK Co############llineballinglove33.webredirect.org
- DNS ASK pa###bin.com
- DNS ASK mi#######delasantnj.sytes.net
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\start menu\programs\startup\note\notepadnote.exe'
- '%APPDATA%\microsoft\windows\start menu\new-client 1lluv51.exe'
- '%APPDATA%\microsoft\windows\templates\controllerfinallineballinglove33.webredirect.exe'
- '%APPDATA%\microsoft\windows\start menu\programs\startup\centourismeadddynamicoptional001.exe'
- '%TEMP%\notepadmapdskjlkdf.exe'
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /f /v "Shell" /t REG_SZ /d "explorer.exe,%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\note\notepadnote.exe,"
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /f /v "Shell" /t REG_SZ /d "explorer.exe,%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\note\notepadnote.exe,"
