Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'system' = '<SYSTEM32>\system.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<Полный путь к вирусу>'
- '%TEMP%\RarSFX0\diyoem.exe'
- '<SYSTEM32>\system.exe'
- '%PROGRAM_FILES%\AAV\K200.exe'
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' stop MpsSvc
- '<SYSTEM32>\net1.exe' stop WinDefend
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\kkdtq.dll Exbcute
- '<SYSTEM32>\sc.exe' stop PolicyAgent
- '<SYSTEM32>\sc.exe' config MpsSvc start= disabled
- '<SYSTEM32>\net.exe' stop WinDefend
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\hrbtl.dll Exbcute
- '<SYSTEM32>\sc.exe' config WinDefend start= disabled
- '<SYSTEM32>\net.exe' stop MpsSvc
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\oemdata\lenovo\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\lenovo\oeminfo.ini
- %TEMP%\RarSFX0\oemdata\lenovo\Thumbs.db
- %TEMP%\RarSFX0\oemdata\lenovo\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\legend\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\legend\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\legend\Thumbs.db
- %TEMP%\RarSFX0\oemdata\legend\OEMLOGO.bmp
- %TEMP%\RarSFX0\oemdata\nec\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\nec\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\nec\Thumbs.db
- %TEMP%\RarSFX0\oemdata\nec\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\lg\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\lg\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\lg\Thumbs.db
- %TEMP%\RarSFX0\oemdata\lg\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\hisense\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\hisense\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\hisense\Thumbs.db
- %TEMP%\RarSFX0\oemdata\hisense\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\hedy\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\hedy\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\hedy\Thumbs.db
- %TEMP%\RarSFX0\oemdata\hedy\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\ibm\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\ibm\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\ibm\Thumbs.db
- %TEMP%\RarSFX0\oemdata\ibm\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\hp\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\hp\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\hp\Thumbs.db
- %TEMP%\RarSFX0\oemdata\hp\OEMLOGO.BMP
- %PROGRAM_FILES%\AAV\CDriver.Inf
- %TEMP%\RarSFX0\oemdata\thtf\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\thtf\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\thtf\Thumbs.db
- %TEMP%\RarSFX0\oemdata\thtf\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\tcl\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\tcl\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\tcl\Thumbs.db
- %TEMP%\RarSFX0\oemdata\tcl\OEMLOGO.BMP
- %TEMP%\RarSFX0\guide.exe
- %TEMP%\RarSFX0\diyoem.exe
- %TEMP%\1.tmp
- <SYSTEM32>\kkdtq.dll
- %TEMP%\RarSFX0\oemdata\tosh\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\tosh\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\tosh\Thumbs.db
- %TEMP%\RarSFX0\oemdata\tosh\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\p4\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\p4\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\p4\Thumbs.db
- %TEMP%\RarSFX0\oemdata\p4\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\others\bfly.ico
- %TEMP%\RarSFX0\oemdata\others\Aqua OS.ico
- %TEMP%\RarSFX0\oemdata\others\Thumbs.db
- %TEMP%\RarSFX0\oemdata\others\oemdiy.bmp
- %TEMP%\RarSFX0\oemdata\sony\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\sony\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\sony\Thumbs.db
- %TEMP%\RarSFX0\oemdata\sony\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\samsung\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\samsung\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\samsung\Thumbs.db
- %TEMP%\RarSFX0\oemdata\samsung\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\hasee\Thumbs.db
- %TEMP%\RarSFX0\oemdata\athlonx2\Thumbs.db
- %TEMP%\RarSFX0\oemdata\athlonx2\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\benq\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\benq\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\asus\Thumbs.db
- %TEMP%\RarSFX0\oemdata\asus\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\athlonx2\oemlink.ico
- %TEMP%\RarSFX0\oemdata\athlonx2\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\Celerond\Thumbs.db
- %TEMP%\RarSFX0\oemdata\Celerond\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\centrino\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\centrino\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\benq\Thumbs.db
- %TEMP%\RarSFX0\oemdata\benq\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\Celerond\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\Celerond\OEMINFO.INI
- %TEMP%\RarSFX0\oemdiy.ini
- <Полный путь к вирусу>
- %TEMP%\RarSFX0\language\简体中文.ini
- %TEMP%\RarSFX0\tips.txt
- <SYSTEM32>\hrbtl.dll
- <SYSTEM32>\system.exe
- %PROGRAM_FILES%\AAV\K200.exe
- %PROGRAM_FILES%\AAV\CDriver.sys
- %TEMP%\RarSFX0\oemdata\acer\Thumbs.db
- %TEMP%\RarSFX0\oemdata\acer\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\asus\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\asus\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\Thumbs.db
- %TEMP%\RarSFX0\oemdata\blank.bmp
- %TEMP%\RarSFX0\oemdata\acer\OEMLINK.ico
- %TEMP%\RarSFX0\oemdata\acer\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\centrino\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\gw\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\fuji\Thumbs.db
- %TEMP%\RarSFX0\oemdata\gw\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\gw\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\fuji\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\founder\Thumbs.db
- %TEMP%\RarSFX0\oemdata\fuji\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\fuji\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\hasee\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\haier\Thumbs.db
- %TEMP%\RarSFX0\oemdata\hasee\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\hasee\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\haier\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\gw\Thumbs.db
- %TEMP%\RarSFX0\oemdata\haier\oemlogo.bmp
- %TEMP%\RarSFX0\oemdata\haier\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\core2d\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\compaq\Thumbs.db
- %TEMP%\RarSFX0\oemdata\core2d\OEMLOGO.bmp
- %TEMP%\RarSFX0\oemdata\core2d\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\compaq\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\centrino\Thumbs.db
- %TEMP%\RarSFX0\oemdata\compaq\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\compaq\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\founder\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\dell\Thumbs.db
- %TEMP%\RarSFX0\oemdata\founder\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\founder\OEMLINK.ICO
- %TEMP%\RarSFX0\oemdata\dell\OEMINFO.INI
- %TEMP%\RarSFX0\oemdata\core2d\Thumbs.db
- %TEMP%\RarSFX0\oemdata\dell\OEMLOGO.BMP
- %TEMP%\RarSFX0\oemdata\dell\OEMLINK.ICO
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\RarSFX0\oemdata\legend\Thumbs.db
- %TEMP%\RarSFX0\oemdata\lenovo\Thumbs.db
- %TEMP%\RarSFX0\oemdata\lg\Thumbs.db
- %TEMP%\RarSFX0\oemdata\ibm\Thumbs.db
- %TEMP%\RarSFX0\oemdata\hedy\Thumbs.db
- %TEMP%\RarSFX0\oemdata\hisense\Thumbs.db
- %TEMP%\RarSFX0\oemdata\hp\Thumbs.db
- %TEMP%\RarSFX0\oemdata\nec\Thumbs.db
- %TEMP%\RarSFX0\oemdata\tcl\Thumbs.db
- %TEMP%\RarSFX0\oemdata\thtf\Thumbs.db
- %TEMP%\RarSFX0\oemdata\tosh\Thumbs.db
- %TEMP%\RarSFX0\oemdata\sony\Thumbs.db
- %TEMP%\RarSFX0\oemdata\others\Thumbs.db
- %TEMP%\RarSFX0\oemdata\p4\Thumbs.db
- %TEMP%\RarSFX0\oemdata\samsung\Thumbs.db
- %TEMP%\RarSFX0\oemdata\benq\Thumbs.db
- %TEMP%\RarSFX0\oemdata\Celerond\Thumbs.db
- %TEMP%\RarSFX0\oemdata\centrino\Thumbs.db
- %TEMP%\RarSFX0\oemdata\athlonx2\Thumbs.db
- %TEMP%\RarSFX0\oemdata\Thumbs.db
- %TEMP%\RarSFX0\oemdata\acer\Thumbs.db
- %TEMP%\RarSFX0\oemdata\asus\Thumbs.db
- %TEMP%\RarSFX0\oemdata\compaq\Thumbs.db
- %TEMP%\RarSFX0\oemdata\gw\Thumbs.db
- %TEMP%\RarSFX0\oemdata\haier\Thumbs.db
- %TEMP%\RarSFX0\oemdata\hasee\Thumbs.db
- %TEMP%\RarSFX0\oemdata\fuji\Thumbs.db
- %TEMP%\RarSFX0\oemdata\core2d\Thumbs.db
- %TEMP%\RarSFX0\oemdata\dell\Thumbs.db
- %TEMP%\RarSFX0\oemdata\founder\Thumbs.db
Удаляет следующие файлы:
- %PROGRAM_FILES%\AAV\CDriver.Inf
- %PROGRAM_FILES%\AAV\CDriver.sys
- %PROGRAM_FILES%\AAV\K200.exe
Самоперемещается:
- из <Полный путь к вирусу> в <Полный путь к вирусу>t
Сетевая активность:
Подключается к:
- 'tr###.t3tgz.com':8080
UDP:
- DNS ASK tr###.t3tgz.com
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'MiniSniffer'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
