Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\fonfile\shell\open\command] '' = '%PROGRAM_FILES%\Thunder\thunder.exe "%1" %*'
- [<HKLM>\SOFTWARE\Classes\anifile\shell\open\command] '' = '%PROGRAM_FILES%\Thunder\thunder.exe "%1" %*'
- [<HKLM>\SOFTWARE\Classes\iiifile\shell\open\command] '' = '%PROGRAM_FILES%\Thunder\thunder.exe "%1" %*'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\winsoft9\bho.exe'
- '%PROGRAM_FILES%\winsoft9\test.exe'
Запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://58.###.198.119:8080/count.asp?ma################################ Windows XP&flag=fac166ca13297b62a7103ae0bb62a92f&user=test
- '<SYSTEM32>\wscript.exe' "%PROGRAM_FILES%\winsoft9\1.vbs"
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Favorites\ЧоРВФЪПЯРЎЛµГв·СµДФД¶Б.·бё»ДЪИЭЛЩ¶ИїмµДРЎЛµХѕ!.url
- %HOMEPATH%\Favorites\МФ±¦Нш - МФЈЎОТПІ»¶.url
- %HOMEPATH%\Favorites\45575.comФЪПЯµДРЎУОП·.ЧоєГНжЧоРВЧоїмїбі¬ј¶РЎУОП·!.url
- %HOMEPATH%\Favorites\ЦР№ъёЈАыІКЖ±Ј¬МеУэІКЖ±µДН¶ЧўЦРРД.ІКЖ±ґуУ®јТ!.url
- %HOMEPATH%\Desktop\МФ±¦Нш.iii
- %HOMEPATH%\Desktop\ФЪПЯРЎУОП·.ani
- %HOMEPATH%\Favorites\ЧоРВј«Ж·ВМЙ«єГµДµзУ°ївГв·С.ёЯЗеёЯЛЩЈЎМмМмёьРВ!!.url
- %HOMEPATH%\Favorites\°¬іИЕ®Ч°--ЧоГААцК±ЙРµДЕ®Ч°Ж·ЕЖ.ГАЕ®ВтТВЈ¬ГлЙ±°¬іИЕ®Ч°!!.url
- %HOMEPATH%\Start Menu\Programs\Internet Explorer.fon
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\kusila[1]
- %HOMEPATH%\Favorites\ГАЕ®·бРШґуГШѕч-20МмДЪСёЛЩФцґуґуґу!.url
- %HOMEPATH%\Favorites\µ±µ±НшЎЄНшЙП№єОпЦРРД.url
- %HOMEPATH%\Favorites\ЧїФЅСЗВнС·НшЙП№єОпНјКйЈ¬КЦ»ъЈ¬КэВлЈ¬јТµзЈ¬»ЇЧ±Ж·Ј¬ЦУ±нЈ¬КЧКОµИФЪПЯПъКЫ.url
- %HOMEPATH%\Favorites\їґїґµзКУѕзФЪПЯґуИ«,,,ЧоєГВМЙ«ЧоРВёЯЛЩГв·СµзКУѕзНшХѕ!.url
- C:\b.txt
- %PROGRAM_FILES%\winsoft9\test.exe
- C:\Documents and Settings\mm.ico
- C:\Documents and Settings\game.ico
- %PROGRAM_FILES%\winsoft9\bho.exe
- %PROGRAM_FILES%\winsoft9\WINDOWS\time\mian.dil
- %PROGRAM_FILES%\winsoft9\WINDOWS\time\mian.dll
- %PROGRAM_FILES%\winsoft9\1.vbs
- %WINDIR%\Downloaded Program Files\game.ico
- %WINDIR%\Downloaded Program Files\movie.ico
- %WINDIR%\Downloaded Program Files\mm.ico
- %WINDIR%\Downloaded Program Files\taobao.ico
- C:\Documents and Settings\taobao.ico
- C:\Documents and Settings\movie.ico
- %PROGRAM_FILES%\Thunder\thunder.exe
Удаляет следующие файлы:
- C:\b.txt
Сетевая активность:
Подключается к:
- 'www.ku##la.com':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- www.ku##la.com/?ho####
UDP:
- DNS ASK www.ku##la.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
