Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,%ALLUSERSPROFILE%\Start Menu\WinUpd\winup.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MicroUpdate' = '%ALLUSERSPROFILE%\Start Menu\WinUpd\winup.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '<LS_APPDATA>\Xenocode\Sandbox\NeoBot\455.UYG.365.HEH\2013.06.17T15.57\Native\STUBEXE\@SYSTEM@\attrib.exe' "%TEMP%\IXP000.TMP" +s +h
- '<LS_APPDATA>\Xenocode\Sandbox\NeoBot\455.UYG.365.HEH\2013.06.17T15.57\Native\STUBEXE\@SYSTEM@\attrib.exe' "%TEMP%\IXP000.TMP\NEOFAC~1.EXE" +s +h
- '<LS_APPDATA>\Xenocode\Sandbox\NeoBot\455.UYG.365.HEH\2013.06.17T15.57\Native\STUBEXE\@STARTMENUCOMMON@\WinUpd\winup.exe'
- '<LS_APPDATA>\Xenocode\Sandbox\NeoBot\455.UYG.365.HEH\2013.06.17T15.57\Native\STUBEXE\@SYSTEM@\notepad.exe'
- '<LS_APPDATA>\Xenocode\Sandbox\NeoBot\455.UYG.365.HEH\2013.06.17T15.57\Native\STUBEXE\@PROFILE@\Local Settings\Temp\INSTALL_FLASHPLAYER10X32_MSSD_AAA_AIH.EXE'
- '<LS_APPDATA>\Xenocode\Sandbox\NeoBot\455.UYG.365.HEH\2013.06.17T15.57\Native\STUBEXE\@PROFILE@\Local Settings\Temp\IXP000.TMP\NEOFAC~1.EXE'
- '<LS_APPDATA>\Xenocode\Sandbox\NeoBot\455.UYG.365.HEH\2013.06.17T15.57\Virtual\STUBEXE\@APPDIR@\NeoBotZ V6-2.EXE'
- '<LS_APPDATA>\Xenocode\Sandbox\NeoBot\455.UYG.365.HEH\2013.06.17T15.57\Native\STUBEXE\@SYSTEM@\cmd.exe' /k attrib "%TEMP%\IXP000.TMP" +s +h
- '<LS_APPDATA>\Xenocode\Sandbox\NeoBot\455.UYG.365.HEH\2013.06.17T15.57\Native\STUBEXE\@SYSTEM@\cmd.exe' /k attrib "%TEMP%\IXP000.TMP\NEOFAC~1.EXE" +s +h
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для процесса 'winup.exe': %ALLUSERSPROFILE%\Start Menu\WinUpd\winup.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buttonLeft[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buttonCenter[2].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buttonCenter[3].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\buttonLeft[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\buttonRight[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buttonCenter[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\buttonLeftHighlight[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\buttonRightHighlight[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\buttonRight[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buttonRight[2].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buttonRight[1].png
- %TEMP%\Cab1.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %TEMP%\Cab3.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\bgDownloadBarError[1].png
- %TEMP%\Cab5.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- <LS_APPDATA>\Adobe\AIH.4750b0075c55db93ab17db7e529826e9ef45475b\launcher.bundle.partial
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\buttonCenter[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\wpad[1].dat
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\8DFDF057024880D7A081AFBF6D26B92F
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\8DFDF057024880D7A081AFBF6D26B92F
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\62B5AF9BE9ADC1085C3C56EC07A82BF6
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\index[1].htm
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\62B5AF9BE9ADC1085C3C56EC07A82BF6
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\60E31627FDA0A46932B0E5948949F2A5
- %TEMP%\IXP000.TMP\NEOFAC~1.EXE
- %ALLUSERSPROFILE%\Start Menu\WinUpd\winup.exe
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\60E31627FDA0A46932B0E5948949F2A5
- %TEMP%\INSTALL_FLASHPLAYER10X32_MSSD_AAA_AIH.EXE
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\language-en[1].js
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\logoAdobe[1].gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\bgDownloadBarEmpty[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\buttonCenterHighlight[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\bgDownloadBarFull[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\main-merge[1].js
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\iconBlank[1].gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\default[1].css
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\iconComplete[1].gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\iconError[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\bgHeaderError[1].gif
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\IXP000.TMP\NEOFAC~1.EXE
- %ALLUSERSPROFILE%\Start Menu\WinUpd\winup.exe
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\buttonRight[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\buttonLeft[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buttonCenter[1].png
- %TEMP%\Cab5.tmp
- %TEMP%\Cab3.tmp
- %TEMP%\Cab1.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\buttonRight[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buttonRight[2].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buttonRight[1].png
- %TEMP%\IXP000.TMP\NEOFAC~1.EXE
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buttonLeft[1].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buttonCenter[3].png
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\buttonCenter[2].png
Перемещает следующие файлы:
- <LS_APPDATA>\Adobe\AIH.4750b0075c55db93ab17db7e529826e9ef45475b\launcher.bundle.partial в <LS_APPDATA>\Adobe\AIH.4750b0075c55db93ab17db7e529826e9ef45475b\launcher.bundle
Сетевая активность:
Подключается к:
- 'localhost':1049
- 'cs######0-crl.verisign.com':80
- 'localhost':1048
- 'www.download.windowsupdate.com':80
- 'localhost':1053
- 'az#.#apto.org':1604
- 'wp#d':80
- 'crl.verisign.com':80
- 'sq#.#apto.org':1604
- 'sq#.#apto.org':58823
TCP:
Запросы HTTP GET:
- cs######0-crl.verisign.com/CSC3-2010.crl
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- wp#d/wpad.dat
- crl.verisign.com/pca3.crl
- crl.verisign.com/pca3-g5.crl
UDP:
- DNS ASK sq#.#apto.org
- DNS ASK cs######0-crl.verisign.com
- DNS ASK www.download.windowsupdate.com
- DNS ASK wp#d
- DNS ASK az#.#apto.org
- DNS ASK crl.verisign.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '#32770' WindowName: 'Adobe Flash Player Installer'
- ClassName: '#32770' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: '#32770' WindowName: '<Служебное имя>'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: '#32770' WindowName: '(null)'
