Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\csrse] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\ef33.exe'
- '<SYSTEM32>\ef33.exe' -s
- '<SYSTEM32>\ef33.exe' -i
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\elff.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\fue6.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\1ff6.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\3fo1.dll"
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\dmf3.dll, Always
- '<SYSTEM32>\regsvr32.exe' /s "<SYSTEM32>\81q6.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\81q6.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\1d6e.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\dv3d.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\fh0d.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\6l68.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\1q06.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\dg81.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\fgd0.dll"
- '<SYSTEM32>\regsvr32.exe' /u /s "<SYSTEM32>\eg33.dll"
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\desktop.ini
- <SYSTEM32>\02afc
- %TEMP%\s9qg\4.dll
- <SYSTEM32>\83-105-7163
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\O7M9SBUV\desktop.ini
- %WINDIR%\Temp\History\History.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\GLULAZW1\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\0JKL9NF7\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\70PR8A64\desktop.ini
- %TEMP%\s9qg\p.dll.zgx.tmp
- %TEMP%\s9qg\p.dll.zgx
- %TEMP%\s9qg\b.dll.zgx
- %TEMP%\s9qg\set.tmp
- %TEMP%\s9qg\b.dll.zgx.tmp
- %TEMP%\s9qg\2.dll
- %TEMP%\s9qg\3.dll
- %TEMP%\s9qg\_uninstall
- %TEMP%\s9qg\s.exe.tmp
- %TEMP%\s9qg\s.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\GLULAZW1\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\O7M9SBUV\desktop.ini
- %WINDIR%\Temp\History\History.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\0JKL9NF7\desktop.ini
- %WINDIR%\Temp\Temporary Internet Files\Content.IE5\70PR8A64\desktop.ini
Удаляет следующие файлы:
- %TEMP%\s9qg\set.tmp
- %TEMP%\s9qg\_uninstall
- %TEMP%\s9qg\s.exe.tmp
- %TEMP%\s9qg\b.dll.zgx.tmp
- %TEMP%\s9qg\p.dll.zgx.tmp
Перемещает следующие файлы:
- %TEMP%\s9qg\3.dll в %WINDIR%\e033.exe
- %TEMP%\s9qg\b.dll в <SYSTEM32>\81q6.dll
- %TEMP%\s9qg\4.dll в %WINDIR%\f68d.flv
- %TEMP%\s9qg\s.exe в <SYSTEM32>\ef33.exe
- %TEMP%\s9qg\p.dll.zgx в %TEMP%\s9qg\p.dll
- %TEMP%\s9qg\b.dll.zgx в %TEMP%\s9qg\b.dll
- %TEMP%\s9qg\2.dll в %WINDIR%\d3e0.bmp
- %TEMP%\s9qg\p.dll в <SYSTEM32>\dmf3.dll
Сетевая активность:
Подключается к:
- '12#.##0304123.cn':80
UDP:
- DNS ASK 12#.##0304123.cn
- DNS ASK ya###.com.cn
