Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\NetHomeIDE] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\baidu\RandWr.exe' spass.dll
- '%PROGRAM_FILES%\baidu\RandWr.exe' newnetgar.dll
- '%PROGRAM_FILES%\baidu\RandWr.exe' dsetup.exe
- '%TEMP%\nsc2.tmp\devcon.exe' enable =net
- '%TEMP%\nsc2.tmp\ns10.tmp' %TEMP%\nsc2.tmp\devcon.exe enable =net
- '%PROGRAM_FILES%\baidu\dsetup.exe' install
- '%TEMP%\nsc2.tmp\ns5.tmp' %TEMP%\nsc2.tmp\devcon.exe disable =net
- '%TEMP%\nsc2.tmp\ns4.tmp' cmd.exe /c netsh int ip add dns name="Local Area Connection" addr=61.158.160.206 index=2
- '%TEMP%\nsc2.tmp\ns3.tmp' cmd.exe /c netsh int ip set dns name="Local Area Connection" static 61.158.160.197
- '%TEMP%\nsc2.tmp\install.exe'
- '%TEMP%\nsc2.tmp\extracting.exe'
- '%TEMP%\nsc2.tmp\devcon.exe' disable =net
Запускает на исполнение:
- '<SYSTEM32>\runonce.exe' -r
- '<SYSTEM32>\svchost.exe' -k mysysgroup3
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\nethome32.dll RundllInstall NetHomeIDE
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\b025e3ad-8db6-4472-9e03-332f16fa0a17
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %WINDIR%\inf\oem3.PNF
- %WINDIR%\inf\oem3.inf
- <SYSTEM32>\microinfo\MyIEData\main.ini
- %PROGRAM_FILES%\baidu\uninst13.exe
- <SYSTEM32>\microinfo\MyIEData\SysDat.bin
- <SYSTEM32>\nethome32.dll
- %WINDIR%\inf\oem4.inf
- %TEMP%\nsc2.tmp\ns10.tmp
- %APPDATA%\MyIEData\main.ini
- %TEMP%\nsc2.tmp\ioSpecial.ini
- %TEMP%\nsc2.tmp\InstallOptions.dll
- %TEMP%\nsc2.tmp\modern-wizard.bmp
- %WINDIR%\inf\INFCACHE.0
- %WINDIR%\inf\oem4.PNF
- <DRIVERS>\SETE.tmp
- %APPDATA%\NetHome\main.ini
- <DRIVERS>\SETF.tmp
- %PROGRAM_FILES%\baidu\tempnethome13.ini
- %TEMP%\nsc2.tmp\AccessControl.dll
- %TEMP%\nsc2.tmp\nsRandom.dll
- %TEMP%\nsc2.tmp\devcon.exe
- %TEMP%\nsc2.tmp\extracting.exe
- %TEMP%\nsc2.tmp\ns5.tmp
- %TEMP%\nsc2.tmp\Math.dll
- %TEMP%\nsc2.tmp\System.dll
- %TEMP%\nsc2.tmp\nsExec.dll
- %TEMP%\nsc2.tmp\ns4.tmp
- %TEMP%\nsc2.tmp\ns3.tmp
- %TEMP%\nsc2.tmp\install.exe
- %PROGRAM_FILES%\baidu\newnetgar.dll
- %PROGRAM_FILES%\baidu\mpflt.inf
- %PROGRAM_FILES%\baidu\SysDat.bin
- %TEMP%\nsy9.tmp\System.dll
- %PROGRAM_FILES%\baidu\RandWr.exe
- %PROGRAM_FILES%\baidu\lendot.dll
- %TEMP%\nsl7.tmp\NxSMSILoaderDlg.dll
- %PROGRAM_FILES%\baidu\dsetup.exe
- %PROGRAM_FILES%\baidu\mpflt_m.inf
- %PROGRAM_FILES%\baidu\lendot.sys
Удаляет следующие файлы:
- %TEMP%\nsc2.tmp\install.exe
- %TEMP%\nsc2.tmp\ns10.tmp
- %TEMP%\nsl7.tmp\NxSMSILoaderDlg.dll
- %TEMP%\nsc2.tmp\devcon.exe
- %TEMP%\nsy9.tmp\System.dll
- %TEMP%\nsc2.tmp\ns4.tmp
- %TEMP%\nsc2.tmp\ns3.tmp
- %PROGRAM_FILES%\baidu\uninst13.exe
- %TEMP%\nsc2.tmp\ns5.tmp
Перемещает следующие системные файлы:
- %WINDIR%\inf\INFCACHE.2 в %WINDIR%\inf\OLDCACHE.000
- %WINDIR%\inf\INFCACHE.1 в %WINDIR%\inf\INFCACHE.2
Перемещает следующие файлы:
- <DRIVERS>\SETF.tmp в <DRIVERS>\lendot.sys
- <DRIVERS>\SETE.tmp в <DRIVERS>\lendot.dll
Сетевая активность:
UDP:
- 'localhost':1056
- 'localhost':1057
- '23#.#55.255.250':1900
- 'localhost':1047
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: '??????...'
