Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\CryptSvrBySystem] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\loruy.exe' /service
- '<SYSTEM32>\loruy.exe'
- '%TEMP%\Messenger\setup.exe' mself
- '<SYSTEM32>\olifb.exe'
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' start CryptSvrBySystem
Изменения в файловой системе:
Создает следующие файлы:
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\update[1].htm
- <SYSTEM32>\adorder.ini
- %WINDIR%\Temp\Messenger\knqtx.ini
- %WINDIR%\Temp\Messenger\kbietmp2.ini
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\LBMMC3H3\index[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\gt[1].asp
- %TEMP%\Messenger\setup.exe
- %TEMP%\Messenger\nvsys.ini
- %TEMP%\Messenger\sysmain.dat
- <SYSTEM32>\mssrcid.ini
- %TEMP%\Messenger\sysvc.dat
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\gt[1].asp
Перемещает следующие файлы:
- %TEMP%\Messenger\sysmain.dat в <SYSTEM32>\olifb.exe
- %TEMP%\Messenger\nvsys.ini в <SYSTEM32>\pmjgc.ini
- %TEMP%\Messenger\sysvc.dat в <SYSTEM32>\loruy.exe
Сетевая активность:
Подключается к:
- 'www.ba##upn.cn':80
TCP:
Запросы HTTP GET:
- www.ba##upn.cn/up/update.htm
- www.ba##upn.cn/myconfig/index.htm
- www.ba##upn.cn/page/gt.asp?ve##############################################################################################
- www.ba##upn.cn/page/gt.asp?ve#################################
UDP:
- DNS ASK www.ba##upn.cn
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
