Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'lsm' = '"<SYSTEM32>\cttune\lsm.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'explorer' = '"C:\totalcmd\LANGUAGE\explorer.exe"'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"%ProgramFiles(x86)%\Internet Explorer\ie8props\iexplore.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\lsm
- <SYSTEM32>\tasks\explorer
- <SYSTEM32>\tasks\iexplore
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\4306ae2382a6c1502d8277d6952003bf.exe
- <Имя диска съемного носителя>:\wrar520.lnk
- <Имя диска съемного носителя>:\skypesetup.lnk
- <Имя диска съемного носителя>:\notepad.lnk
- <Имя диска съемного носителя>:\64bit_notes.lnk
- <Имя диска съемного носителя>:\advice_process.lnk
- <Имя диска съемного носителя>:\garden.lnk
- <Имя диска съемного носителя>:\trivial-merge.lnk
- <Имя диска съемного носителя>:\about.lnk
- <Имя диска съемного носителя>:\ituneshelpunavailable.lnk
- <Имя диска съемного носителя>:\alert.lnk
- <Имя диска съемного носителя>:\168.lnk
- <Имя диска съемного носителя>:\210252809.lnk
- <Имя диска съемного носителя>:\2.lnk
- <Имя диска съемного носителя>:\3.lnk
- <Имя диска съемного носителя>:\4f0bf7ff71f28.lnk
- <Имя диска съемного носителя>:\spanner.lnk
- <Имя диска съемного носителя>:\firefly1.lnk
- <Имя диска съемного носителя>:\clip_480_5sec_6mbps_h264.lnk
- <Имя диска съемного носителя>:\clip_1080_5sec_10mbps_h264.lnk
- <Имя диска съемного носителя>:\51.lnk
- <Имя диска съемного носителя>:\d0068197bb5a41fea16a220c45390606.lnk
- <Имя диска съемного носителя>:\jre-7u75-windows-i586-iftw.lnk
- <Имя диска съемного носителя>:\spib_pima.lnk
- <Имя диска съемного носителя>:\tcm851ax32.lnk
- <Имя диска съемного носителя>:\hadac_newsletter_july_2010_final.lnk
- <Имя диска съемного носителя>:\correct.lnk
- <Имя диска съемного носителя>:\000814251_video_01.lnk
- <Имя диска съемного носителя>:\dashborder_120.lnk
- <Имя диска съемного носителя>:\dashborder_96.lnk
- <Имя диска съемного носителя>:\coffee.lnk
- <Имя диска съемного носителя>:\tileimage.lnk
- <Имя диска съемного носителя>:\dashborder_192.lnk
- <Имя диска съемного носителя>:\sdksampleprivdeveloper.lnk
- <Имя диска съемного носителя>:\sdkfailsafeemulator.lnk
- <Имя диска съемного носителя>:\contoso_1.lnk
- <Имя диска съемного носителя>:\contoso.lnk
- <Имя диска съемного носителя>:\hanni_umami_chapter.lnk
- <Имя диска съемного носителя>:\applicantform_en.lnk
- <Имя диска съемного носителя>:\issi2013_template_for_posters.lnk
- <Имя диска съемного носителя>:\glidescope_review_rev_010.lnk
- <Имя диска съемного носителя>:\holycrosschurchinstructions.lnk
- <Имя диска съемного носителя>:\sdszfo.lnk
- <Имя диска съемного носителя>:\file_p_00000000_1371597592.lnk
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.lnk
- <Имя диска съемного носителя>:\adhd_and_obesity.lnk
- <Имя диска съемного носителя>:\thlps_keeper_mayer_1965.lnk
- <Имя диска съемного носителя>:\utorrent.lnk
- <Имя диска съемного носителя>:\fil_20060629111052.lnk
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\mntemp
- %WINDIR%\syswow64\cttune\lsm.exe
- %WINDIR%\syswow64\cttune\101b941d020240259ca4912829b53995ad543df6
- C:\totalcmd\language\explorer.exe
- C:\totalcmd\language\7a0fd90576e08807bde2cc57bcf9854bbce05fe3
- %ProgramFiles(x86)%\internet explorer\ie8props\iexplore.exe
- %ProgramFiles(x86)%\internet explorer\ie8props\9db6e019d4f04ef534d0f91b3462d805c40e9d20
Присваивает атрибут 'скрытый' для следующих файлов
- <Имя диска съемного носителя>:\4306ae2382a6c1502d8277d6952003bf.exe
Удаляет следующие файлы
- <Имя диска съемного носителя>:\trivial-merge.lnk
- <Имя диска съемного носителя>:\168.lnk
- <Имя диска съемного носителя>:\2.lnk
Сетевая активность
Подключается к
- 'ap#.##mp-loader.ru':80
- 'ip##fo.io':443
TCP
Запросы HTTP GET
- http://ap#.##mp-loader.ru/access.php?SX##########################################################################################################################################################...
Другие
- 'ip##fo.io':443
UDP
- DNS ASK ap#.##mp-loader.ru
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cttune\lsm.exe'
- '%WINDIR%\syswow64\cttune\lsm.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "lsm" /sc ONLOGON /tr "'<SYSTEM32>\cttune\lsm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\explorer.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Internet Explorer\ie8props\iexplore.exe'" /rl HIGHEST /f
