Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Microsoft.Corporation] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%WINDIR%\svchost.exe' -nogui
- '%WINDIR%\svchost.exe' -service
- '%ALLUSERSPROFILE%\Application Data\AMMYY\Svch0st.exe' -nogui
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c %TEMP%\services.bat
- '<SYSTEM32>\net1.exe' stop WinDefend
- '<SYSTEM32>\net1.exe' start "Microsoft.Corporation"
- '<SYSTEM32>\sc.exe' create Microsoft.Corporation binPath= "%WINDIR%\svchost.exe -service" DisplayName= "Microsoft Comporation" start= auto
- '<SYSTEM32>\net.exe' stop security center
- '<SYSTEM32>\netsh.exe' firewall set opmode disable
- '<SYSTEM32>\net1.exe' stop security center
- '<SYSTEM32>\net.exe' stop WinDefend
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
- chrome.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\MSNMessenger]
- [<HKCU>\Software\Microsoft\MessengerService]
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\AMMYY\Svch0st.log
- %ALLUSERSPROFILE%\Application Data\AMMYY\hr3
- %ALLUSERSPROFILE%\Application Data\AMMYY\hr
- %WINDIR%\svchost.log
- %WINDIR%\svchost.exe
- %TEMP%\services.bat
- %ALLUSERSPROFILE%\Application Data\AMMYY\Unkn0wn.rar
- %TEMP%\CRNJEUFU\firewFoxold
- %TEMP%\CRNJEUFU\CRNJEUFU.inf
- %ALLUSERSPROFILE%\Application Data\AMMYY\settings3.bin
- %ALLUSERSPROFILE%\Application Data\AMMYY\Svch0st.exe
- %WINDIR%\unrar.dll
Самоудаляется.
Сетевая активность:
Подключается к:
- 'gi####i.netii.net':21
- 'gi####i.netii.net':80
- 'rl.##myy.com':80
TCP:
Запросы HTTP GET:
- gi####i.netii.net/?ac#################################################################################################################################################
Запросы HTTP POST:
- rl.##myy.com/
UDP:
- DNS ASK gi####i.netii.net
- DNS ASK rl.##myy.com
Другое:
Ищет следующие окна:
- ClassName: '0' WindowName: '0'
