Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = 'C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\csrss.exe'
- [<HKLM>\SOFTWARE\Classes\irc\Shell\open\command] '' = '"C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\csrss.exe" -noconnect'
- [<HKLM>\SOFTWARE\Classes\ChatFile\Shell\open\command] '' = '"C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\csrss.exe" -noconnect'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\hex.exe' "mIRC DB" /hide
- 'C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\csrss.exe'
Запускает на исполнение:
- '%WINDIR%\msagent\agentsvr.exe' -Embedding
Изменения в файловой системе:
Создает следующие файлы:
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\wget.exe
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\regedit
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\users.ini
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\svchost.exe
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\Thumbs.db
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\TMP1.$$$
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\TMP5.$$$
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\TMP6.$$$
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\TMP4.$$$
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\TMP2.$$$
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\TMP3.$$$
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\desktop.ini
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\hex.exe
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\csrss.exe
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\aliases.ini
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\control.ini
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\hstart.exe
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\script.ini
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\servers.ini
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\remote.ini
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\mirc.ico
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\mirc.ini
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\Thumbs.db
Удаляет следующие файлы:
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\TMP4.$$$
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\TMP5.$$$
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\TMP6.$$$
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\TMP1.$$$
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\TMP2.$$$
- C:\RECYCLER\S-1-5-21-3252328098-71414409-2463015037-501\TMP3.$$$
Сетевая активность:
Подключается к:
- '64.##1.255.201':7000
- '64.##1.255.201':6667
- 'ca####0.hopto.org':6667
- '19#.#09.122.67':7000
- '19#.#09.122.67':6668
- '19#.#09.20.90':6668
- '19#.#8.221.221':7000
- '19#.#7.220.2':6667
- '64.##1.255.201':6665
- 'ca####1.hopto.org':6667
- '19#.#09.20.90':6665
- '19#.#44.12.5':6668
- '19#.#09.20.90':7000
- '19#.#7.220.2':6666
- 'sv#.##sti-team.com':6667
- '19#.#8.221.221':6668
- '19#.#8.221.221':6666
- '19#.#8.221.221':6662
- '16#.#3.178.240':6667
- 'sv#.###ceaparcea.org':6667
UDP:
- DNS ASK ca####1.hopto.org
- DNS ASK eu.##dernet.org
- DNS ASK us.##dernet.org
- DNS ASK sv#.##sti-team.com
- DNS ASK sv#.###ceaparcea.org
- DNS ASK ca####0.hopto.org
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
