Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'wghs' = 'C:\wghs.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'wisvyu' = 'C:\wisvyu.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'wghs' = '\wghs.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'wisvyu' = '%TEMP%\newtop.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'wghs' = '%TEMP%\repoint.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\wghs.exe' First
- 'C:\wisvyu.exe'
- '%TEMP%\newtop.exe'
- '%TEMP%\repoint.exe'
Запускает на исполнение:
- '<SYSTEM32>\ntvdm.exe' -f -i6
- '<SYSTEM32>\ntvdm.exe' -f -i5
- '<SYSTEM32>\ntvdm.exe' -f -i7
- '<SYSTEM32>\attrib.exe' +h "\wisvyu.exe"
- '<SYSTEM32>\ntvdm.exe' -f -i4
- '<SYSTEM32>\ntvdm.exe' -f -i1
- '<SYSTEM32>\attrib.exe' +h "\wghs.exe"
- '<SYSTEM32>\ntvdm.exe' -f -i3
- '<SYSTEM32>\ntvdm.exe' -f -i2
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\scs9.tmp
- %WINDIR%\Temp\scsA.tmp
- %WINDIR%\Temp\scs7.tmp
- %WINDIR%\Temp\scs8.tmp
- %WINDIR%\Temp\scsB.tmp
- %WINDIR%\Temp\scsE.tmp
- %WINDIR%\Temp\scsF.tmp
- %WINDIR%\Temp\scsC.tmp
- %WINDIR%\Temp\scsD.tmp
- <SYSTEM32>\REX.dll
- C:\wisvyu.exe
- %TEMP%\repoint.exe
- %TEMP%\newtop.exe
- %WINDIR%\Temp\scs2.tmp
- %WINDIR%\Temp\scs5.tmp
- %WINDIR%\Temp\scs6.tmp
- %WINDIR%\Temp\scs3.tmp
- %WINDIR%\Temp\scs4.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\wisvyu.exe
- C:\wghs.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\scsB.tmp
- %WINDIR%\Temp\scsA.tmp
- %WINDIR%\Temp\scs9.tmp
- %WINDIR%\Temp\scsC.tmp
- %WINDIR%\Temp\scsF.tmp
- %WINDIR%\Temp\scsE.tmp
- %WINDIR%\Temp\scsD.tmp
- %WINDIR%\Temp\scs4.tmp
- %WINDIR%\Temp\scs3.tmp
- %WINDIR%\Temp\scs2.tmp
- %WINDIR%\Temp\scs5.tmp
- %WINDIR%\Temp\scs8.tmp
- %WINDIR%\Temp\scs7.tmp
- %WINDIR%\Temp\scs6.tmp
Перемещает следующие файлы:
- C:\wghs.exe в C:\wghs.exe
- %TEMP%\repoint.exe в C:\wghs.exe
Сетевая активность:
Подключается к:
- 'www.re###nt.co.kr':80
- 'www.ka###e.co.kr':80
TCP:
Запросы HTTP GET:
- www.re###nt.co.kr/update/repoint.htm?20########
- www.ka###e.co.kr/top/newtop/newtop.htm
UDP:
- DNS ASK www.re###nt.co.kr
- DNS ASK www.ka###e.co.kr
Другое:
Ищет следующие окна:
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-d24.d28.420001'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-cd4.cd8.400002'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-e08.e0c.480002'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-d88.d8c.440001'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-cbc.cc0.3f0006'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-c9c.ca0.3e0001'
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-c74.c78.3d0002'
