Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '%WINDIR%\system\ctfmon.exe'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\autorun.inf
- <Имя диска съемного носителя>:\YiHui.exe
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\attrib.exe +r +s +h <Имя диска съемного носителя>:\yihui.exe
- <SYSTEM32>\attrib.exe +r +s +h e:\yihui.exe
- <SYSTEM32>\attrib.exe +r +s +h c:\yihui.exe
- <SYSTEM32>\attrib.exe +r +s +h j:\AUTORUN.INf
- <SYSTEM32>\attrib.exe +r +s +h k:\AUTORUN.INf
- <SYSTEM32>\attrib.exe +r +s +h f:\yihui.exe
- <SYSTEM32>\attrib.exe +r +s +h j:\yihui.exe
- <SYSTEM32>\attrib.exe +r +s +h k:\yihui.exe
- <SYSTEM32>\attrib.exe +r +s +h i:\yihui.exe
- <SYSTEM32>\attrib.exe +r +s +h g:\yihui.exe
- <SYSTEM32>\attrib.exe +r +s +h h:\yihui.exe
- <SYSTEM32>\ftp.exe -s:ftp.dat
- <SYSTEM32>\attrib.exe +r +s +h c:\AUTORUN.INf
- <SYSTEM32>\cmd.exe /c <Текущая директория>\YiHui.bat
- <SYSTEM32>\ntsd.exe -c q -pn rfwmain.exe
- <SYSTEM32>\ntsd.exe -c q -pn rfwsrv.exe
- <SYSTEM32>\attrib.exe +r +s +h <Имя диска съемного носителя>:\AUTORUN.INf
- <SYSTEM32>\attrib.exe +r +s +h h:\AUTORUN.INf
- <SYSTEM32>\attrib.exe +r +s +h i:\AUTORUN.INf
- <SYSTEM32>\attrib.exe +r +s +h g:\AUTORUN.INf
- <SYSTEM32>\attrib.exe +r +s +h e:\AUTORUN.INf
- <SYSTEM32>\attrib.exe +r +s +h f:\AUTORUN.INf
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\ftp.dat
- C:\YiHui.exe
- C:\autorun.inf
- <Текущая директория>\YiHui.bat
- %WINDIR%\system\ctfmon.exe
- <Текущая директория>\YiHui.inf
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\YiHui.exe
- <Имя диска съемного носителя>:\YiHui.exe
- C:\autorun.inf
- <Имя диска съемного носителя>:\autorun.inf
Удаляет следующие файлы:
- <Текущая директория>\YiHui.inf
- <Текущая директория>\ftp.dat
- %TEMP%\~DFC82E.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- '21#.#47.250.45':21
- 'localhost':1035
