Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}\shell\Open\Command] '' = 'explorer.exe h%t%t%p%:%/%/%1t%1a%1o%1b%1a%1o.%14%29%25%25%28%.%3c%3n'
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\ЧАГжМмЖшИХАъ.lnk
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\NetClient] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\ZeMe.exe' 6301
- '%TEMP%\ZeSet.exe' -on "hkcr\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}" -ot reg -actn ace -ace "n:everyone;p:query_val,enum_subkeys,notify" -ace "n:everyone;m:deny;p:write_dacl" -actn setprot -op "dacl:p_nc;sacl:p_nc"
- '%PROGRAM_FILES%\ЧАГжМмЖш\ZeNews.exe'
- '%PROGRAM_FILES%\ЧАГжМмЖш\Weather.exe'
- '%TEMP%\ZeSet.exe' -on "hkcr\CLSID\{e17d4fc0-5564-11d1-83f2-00a0c90dc849}" -ot reg -actn ace -ace "n:everyone;p:full"
- '%TEMP%\E.exe'
- '%TEMP%\config.exe'
- '%TEMP%\ZeSet.exe' -on "hkcr\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}" -ot reg -actn ace -ace "n:everyone;p:query_val,enum_subkeys,notify" -ace "n:everyone;m:deny;p:write_dacl" -actn setprot -op "dacl:p_nc;sacl:p_nc"
- '%TEMP%\ZeSet.exe' -on "hkcr\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}" -ot reg -actn ace -ace "n:everyone;p:full"
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c %TEMP%\c.bat
- '<SYSTEM32>\sc.exe' start NetClient
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\c.bat"
- '<SYSTEM32>\sc.exe' create NetClient binPath= "%CommonProgramFiles%\NetClient.exe" start= auto DisplayName= "Network Client"
Изменения в файловой системе:
Создает следующие файлы:
- %CommonProgramFiles%\System\meinv.ico
- %TEMP%\c.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\103040[1].htm
- %CommonProgramFiles%\System\money.ico
- %CommonProgramFiles%\ODBC\ZeSet.exe
- %CommonProgramFiles%\System\taobao.ico
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\gg[1].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ipaddress[1]
- %TEMP%\Cache3136.dat
- %TEMP%\nsa3.tmp\System.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\view[1].asp
- %ALLUSERSPROFILE%\Start Menu\Programs\ЧАГжМмЖшИХАъ.lnk
- %CommonProgramFiles%\ODBC\NetClient.exe
- %TEMP%\E.exe
- %TEMP%\config.exe
- %TEMP%\ZeSet.exe
- %TEMP%\ZeMe.exe
- %TEMP%\nsa2.tmp
- %PROGRAM_FILES%\ЧАГжМмЖш\Weather.exe
- %PROGRAM_FILES%\ЧАГжМмЖш\ZeNews.exe
- %TEMP%\meinv.ico
- %TEMP%\Ч¬З®ПоДї.dat
- %TEMP%\ГАЕ®КУЖµ.dat
- %TEMP%\money.ico
- %TEMP%\NetClient.exe
- %WINDIR%\AD.exe
- %TEMP%\taobao.ico
Удаляет следующие файлы:
- %TEMP%\NetClient.exe
- %TEMP%\config.exe
- %TEMP%\taobao.ico
- %TEMP%\ZeMe.exe
- %TEMP%\~DF9EC.tmp
- %TEMP%\nsa3.tmp\System.dll
- %TEMP%\money.ico
- %TEMP%\ZeSet.exe
- %TEMP%\E.exe
- %TEMP%\~DF5F8D.tmp
- %TEMP%\meinv.ico
- %TEMP%\Ч¬З®ПоДї.dat
- %TEMP%\ГАЕ®КУЖµ.dat
Сетевая активность:
Подключается к:
- 'localhost':1039
- 'www.ze###ion.com':80
- 'fw.#q.com':80
- 'localhost':1035
- 'www.on###edown.net':80
- 'www.px##25.com':80
TCP:
Запросы HTTP GET:
- www.ze###ion.com/gg.asp?ke########################################################################
- fw.#q.com/ipaddress
- www.on###edown.net/soft/103040.htm
- www.px##25.com/news/view.asp?id###
UDP:
- DNS ASK www.ze###ion.com
- DNS ASK fw.#q.com
- DNS ASK www.on###edown.net
- DNS ASK www.px##25.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
