Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\Run] 'exexc10' = '%TEMP%\RarSFX2\smss.exe'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im smss.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im sppsvd.exe /F
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\Zones\2] '1001' = '00000000'
- [<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\Zones\2] '1004' = '00000000'
- [<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\Zones\2] '1200' = '00000000'
- [<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\Zones\2] '1201' = '00000000'
- [<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\Zones\2] '1405' = '00000000'
- [<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\Zones\2] '2201' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx1\0.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\pxseci3j\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\2a3l7awk\desktop.ini
- %APPDATA%\microsoft\windows\cookies\desktop.ini
- nul
- %TEMP%\rarsfx2\interop.shdocvw.dll
- %TEMP%\rarsfx2\smss.exe
- %TEMP%\rarsfx2\microsoft.mshtml.dll
- %TEMP%\rarsfx0\a\sppsvd.exe
- %TEMP%\rarsfx0\1.bat
- %TEMP%\rarsfx0\0.vbs
- %TEMP%\rarsfx0\0.exe
- %TEMP%\kdzcdoaaql.dll
- %TEMP%\bboakgqhtgumowokscoa.dll
- %TEMP%\lndkoxkvhjmvfqfbhchm.dll
- %TEMP%\test.dat
- %TEMP%\rarsfx1\2.exe
- %TEMP%\rarsfx1\1.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\jmypi2wr\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\yw9eqnzh\desktop.ini
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows\cookies\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\2a3l7awk\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\pxseci3j\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\jmypi2wr\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\yw9eqnzh\desktop.ini
Удаляет следующие файлы
- %TEMP%\rarsfx1\0.exe
- %TEMP%\rarsfx1\1.exe
- %TEMP%\rarsfx1\2.exe
- %TEMP%\test.dat
Изменяет следующие файлы
Подменяет следующие файлы
- %TEMP%\test.dat
- %APPDATA%\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\settings.sol
- %LOCALAPPDATA%\Microsoft\Windows\<INETFILES>\Content.IE5\desktop.ini
Сетевая активность
Подключается к
- 'ku##er.com':80
TCP
Запросы HTTP GET
- http://ku##er.com/advnew/tdvt30.txt
UDP
- DNS ASK ku##er.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx1\0.exe'
- '%TEMP%\rarsfx1\1.exe'
- '%TEMP%\rarsfx1\2.exe'
- '%TEMP%\rarsfx0\0.exe'
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\0.vbs"
- '%TEMP%\rarsfx0\a\sppsvd.exe' /start
- '%TEMP%\rarsfx2\smss.exe'
- '%TEMP%\rarsfx0\a\sppsvd.exe' /start' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\1.bat" /start"' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' InetCpl.cpl,ClearMyTracksByProcess 2' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' InetCpl.cpl,ClearMyTracksByProcess 8' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\1.bat" /start"
- '%WINDIR%\syswow64\ping.exe' -n 5 127.1
- '<SYSTEM32>\rundll32.exe' InetCpl.cpl,ClearMyTracksByProcess 2
- '<SYSTEM32>\rundll32.exe' InetCpl.cpl,ClearMyTracksByProcess 8
