Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\InstallRite File\Shell\Open\Command] '' = '%WINDIR%\hello.exe %1'
Создает или изменяет следующие файлы:
- %TEMP%\WER652c.dir00\pi.exe.mdmp
- %ALLUSERSPROFILE%\Application Data\Microsoft\Dr Watson\drwtsn32.log
- %WINDIR%\hello.exe
- %WINDIR%\pi.bat
- %WINDIR%\Debug\UserMode\userenv.log
- %TEMP%\WER652c.dir00\pi.exe.hdmp
- %TEMP%\WER45b9.dir00\pi.exe.mdmp
- %TEMP%\WER45b9.dir00\pi.exe.hdmp
- %TEMP%\WER652c.dir00\manifest.txt
- %ALLUSERSPROFILE%\Application Data\Microsoft\Dr Watson\user.dmp
- %TEMP%\WER652c.dir00\appcompat.txt
- %WINDIR%\Temp\41\Filelist.lst
- %WINDIR%\Temp\41\delfile.lst
- %WINDIR%\Temp\41\ver.txt
- %WINDIR%\Temp\41\kit.opt
- %WINDIR%\Temp\41\delreg.lst
- %WINDIR%\btkfk.bat
- %WINDIR%\pi2.exe
- %WINDIR%\РЮёДЧФЙнMD5єуµДОДјю.exe
- %WINDIR%\Temp\41\iwt_registry.reg
- %WINDIR%\ex.bat
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\AM] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\svhost.exe' START AM
- '%WINDIR%\svhost.exe' description AM "360rd"
- '%WINDIR%\hello.exe' description AM "360rd"
- '%WINDIR%\svhost.exe' /c %WINDIR%\pi.bat
- '%WINDIR%\hello.exe' -p 2596 -e 52 -g
- '%WINDIR%\hello.exe' /c %WINDIR%\ex.bat
- '%WINDIR%\hello.exe' -p 3740 -e 52 -g
- '%WINDIR%\svhost.exe' CREATE AM binPath= "%WINDIR%\svhost.exe" START= auto DISPLAYNAME= "AM" TYPE= own
- '%WINDIR%\svhost.exe'
- '%WINDIR%\pi.exe'
- '%WINDIR%\hello.exe'
- '%WINDIR%\hello.exe' START AM
- '%WINDIR%\hello.exe' /c %WINDIR%\pi.bat
- '%WINDIR%\svhost.exe' /c %WINDIR%\ex.bat
- '%WINDIR%\hello.exe' CREATE AM binPath= "%WINDIR%\svhost.exe" START= auto DISPLAYNAME= "AM" TYPE= own
Запускает на исполнение:
- '<SYSTEM32>\sc.exe'
- '<SYSTEM32>\sc.exe' /c %WINDIR%\ex.bat
- '<SYSTEM32>\sc.exe' /c %WINDIR%\pi.bat
- '<SYSTEM32>\sc.exe' -d %TEMP%\WER652c.dir00\manifest.txt
- '<SYSTEM32>\sc.exe' -p 3512 -e 52 -g
- '<SYSTEM32>\sc.exe' -p 864 -e 52 -g
- '<SYSTEM32>\sc.exe' CREATE AM binPath= "%WINDIR%\svhost.exe" START= auto DISPLAYNAME= "AM" TYPE= own
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\pi.bat
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\ex.bat
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\pi.bat
- '<SYSTEM32>\sc.exe' START AM
- '<SYSTEM32>\sc.exe' description AM "360rd"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\sc.exe
Завершает или пытается завершить
большое количество пользовательских процессов.
Скрывает следующие процессы:
- %WINDIR%\hello.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\41\delfile.lst
- C:\f.cer
- <Текущая директория>\pi2.exe
- <Текущая директория>\pi.bat
- %TEMP%\41\iwt_registry.reg
- <SYSTEM32>:hello.exe
- C:\s.cer
- %TEMP%\41\delreg.lst
- %WINDIR%\pi.exe
- %WINDIR%\svhost.exe
- %WINDIR%\ex.bat
- %WINDIR%\hello.exe
- %TEMP%\41\kit.opt
- %TEMP%\41\Filelist.lst
- <Текущая директория>\btkfk.bat
- %TEMP%\41\ver.txt
- <Текущая директория>\РЮёДЧФЙнMD5єуµДОДјю.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\svhost.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\41\Filelist.lst
- %WINDIR%\Temp\41\ver.txt
- %WINDIR%\Temp\41\kit.opt
- %WINDIR%\Temp\41\delfile.lst
- %WINDIR%\pi2.exe
- %WINDIR%\Temp\41\iwt_registry.reg
- %WINDIR%\Temp\41\delreg.lst
- <Текущая директория>\pi2.exe
- %TEMP%\41\Filelist.lst
- %TEMP%\41\ver.txt
- %TEMP%\41\kit.opt
- %TEMP%\41\delfile.lst
- %WINDIR%\pi.exe
- %TEMP%\41\iwt_registry.reg
- %TEMP%\41\delreg.lst
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ch##.9966.org':9014
UDP:
- DNS ASK ch##.9966.org
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
