Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '%WINDIR%\explorer.exe, %TEMP%\cmiadapter.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\PrintConfig.exe'
- '%TEMP%\cmiadapter.exe'
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell" /d "%WINDIR%\explorer.exe, %TEMP%\cmiadapter.exe" /f
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\%USERNAME%.txt
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new
- %TEMP%\PrintConfig.exe
- %TEMP%\cmiadapter.exe
- <Полный путь к вирусу>:ZONE.identifier
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\cmiadapter.exe
- %TEMP%\PrintConfig.exe
Удаляет следующие файлы:
- %TEMP%\PrintConfig.exe
Перемещает следующие файлы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch
Сетевая активность:
Подключается к:
- 'ro####.no-ip.biz':7362
- 'www.ip###acker.org':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- www.ip###acker.org/locator/ip-lookup.php
- wp#d/wpad.dat
UDP:
- DNS ASK ro####.no-ip.biz
- DNS ASK www.ip###acker.org
- DNS ASK wp#d
