Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MicroLabProc' = '%APPDATA%\MicroLab\MyEngin\Common\MicroProProc.exe -HbRIWgPP'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MicroLabCon' = '%APPDATA%\MicroLab\MyEngin\Common\MicroProCon.exe -eBNbJaM'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MicroLabProc' = '%APPDATA%\MicroLab\MyEngin\Common\MicroProProc.exe -eBNbJaM'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MicroLabCon' = '%ApplicationDataFolder%\MicroLab\MyEngin\Common\MicroProCon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MicroLabProc' = '%ApplicationDataFolder%\MicroLab\MyEngin\Common\MicroProCon.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MicroLabCon' = '%APPDATA%\MicroLab\MyEngin\Common\MicroProCon.exe -HbRIWgPP'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\GuardSupport\GuardConvert.exe' /f
- '%APPDATA%\MicroLab\MyEngin\Common\MicroProCon.exe'
- '%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:662050 "__IRAFN:<Полный путь к вирусу>" "__IRCT:2" "__IRTSS:0" "__IRSID:S-1-5-21-2052111302-484763869-725345543-1003"
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ServerList[1].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ServerList[2].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ServerList[1].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ServerList[1].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ServerList[2].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ServerList[3].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ServerList[3].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ServerList[2].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ServerList[2].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ServerList[1].asp
- %TEMP%\_ir_sf_temp_0\IRIMG1.JPG
- %TEMP%\_ir_sf_temp_0\IRIMG2.JPG
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- <SYSTEM32>\MSINET.OCX
- %APPDATA%\GuardSupport\GuardConvert.exe
- <SYSTEM32>\VB6KO.DLL
- %APPDATA%\MicroLab\MyEngin\Common\MicroProCon.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\MicroLab\MyEngin\Common\MicroProCon.exe
- %APPDATA%\GuardSupport\GuardConvert.exe
- <SYSTEM32>\MSINET.OCX
- <SYSTEM32>\VB6KO.DLL
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ServerList[1].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ServerList[1].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ServerList[2].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ServerList[1].asp
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\_ir_sf_temp_0\IRIMG2.JPG
- %TEMP%\_ir_sf_temp_0\IRIMG1.JPG
Сетевая активность:
Подключается к:
- 'ma##top.kr':80
- 'ma###erver.kr':80
- 'du##p.com':80
- 'it###rice.kr':80
- 'do####server.co.kr':80
- 'localhost':1037
- 'localhost':1036
- 'ko###rver.com':80
- 'ma###alue.com':80
- 'ho###erver.kr':80
TCP:
Запросы HTTP GET:
- du##p.com/Config/ServerList.asp?un#####
- ma##top.kr/Config/ServerList.asp?un#####
- it###rice.kr/Config/ServerList.asp?un#####
- do####server.co.kr/Config/ServerList.asp?un#####
- ma###erver.kr/Config/ServerList.asp?un#####
- ho###erver.kr/Config/ServerList.asp?un#####
- ko###rver.com/Config/ServerList.asp?n=###
- ko###rver.com/Config/ServerList.asp?un#####
- ma###alue.com/Config/ServerList.asp?un#####
UDP:
- DNS ASK du##p.com
- DNS ASK ma##top.kr
- DNS ASK it###rice.kr
- DNS ASK do####server.co.kr
- DNS ASK ho###erver.kr
- DNS ASK ko###rver.com
- DNS ASK ma###erver.kr
- DNS ASK ma###alue.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
