Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] '123.vbs' = 'c:\123.vbs'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] '1234.vbs' = 'c:\1234.vbs'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000001'
Запускает на исполнение
- '<SYSTEM32>\net.exe' stop ΓÇ£Security CenterΓÇ¥
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=disable
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ixp000.tmp\ongo.bat
- %TEMP%\ixp000.tmp\123.vbs
- %TEMP%\ixp000.tmp\1234.vbs
- C:\123.vbs
- C:\1234.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- C:\123.vbs
- C:\1234.vbs
Удаляет следующие файлы
- %TEMP%\ixp000.tmp\ongo.bat
- %TEMP%\ixp000.tmp\123.vbs
- %TEMP%\ixp000.tmp\1234.vbs
Сетевая активность
UDP
- 'localhost':60690
- 'localhost':50047
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%TEMP%\IXP000.TMP\123.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\IXP000.TMP\1234.vbs"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ongo.bat
- '<SYSTEM32>\attrib.exe' +s +h c:\123.vbs
- '<SYSTEM32>\attrib.exe' +s +h c:\1234.vbs
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ /v NoClose /t REG_DWORD /f /d 1
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\policies\system\ /v legalnoticetext /f /d "YOR ARE BEEN SCREWED"
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\policies\system\ /v legalnoticecaption /f /d "B0zZ_ErR0r"
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run /v 123.vbs /d c:\123.vbs
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run /v 1234.vbs /d c:\1234.vbs
- '<SYSTEM32>\reg.exe' add hkey_local_machinesoftwaremicrosoftwindowscurrentversionrun /v startAPI /t reg_sz /d c:windowshartlell.bat /f
- '<SYSTEM32>\reg.exe' add hkey_current_usersoftwaremicrosoftwindowscurrentversionrun /v /t reg_sz /d c:windowshartlell.bat /f
- '<SYSTEM32>\net1.exe' stop ΓÇ£Security CenterΓÇ¥
- '<SYSTEM32>\tskill.exe' /A norton*
- '<SYSTEM32>\tskill.exe' /A mcafe*
- '<SYSTEM32>\tskill.exe' /A mghtml
- '<SYSTEM32>\tskill.exe' /A msiexec
- '<SYSTEM32>\tskill.exe' /A offg*
