Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Tok-Cirrhatus' = '"<LS_APPDATA>\smss.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe "%WINDIR%\eksplorasi.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Bron-Spizaetus' = '"%WINDIR%\ShellNew\bronstab.exe"'
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\At1.job
- %HOMEPATH%\Start Menu\Programs\Startup\svchost.exe
- %HOMEPATH%\Start Menu\Programs\Startup\Empty.pif
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\Bloc-notes.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует запуск следующих системных утилит:
- Редактора реестра (RegEdit)
Создает и запускает на исполнение:
- '<LS_APPDATA>\services.exe'
- '<LS_APPDATA>\lsass.exe'
- '<LS_APPDATA>\inetinfo.exe'
- '<LS_APPDATA>\winlogon.exe'
- '%TEMP%\hinh passpo.exe'
- '%TEMP%\svchost.exe'
- '<LS_APPDATA>\smss.exe'
Запускает на исполнение:
- '<SYSTEM32>\at.exe' /delete /y
- '<SYSTEM32>\at.exe' 17:08 /every:M,T,W,Th,F,S,Su "%HOMEPATH%\Templates\WowTumpeh.com"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\vbc1.tmp"
- '%WINDIR%\explorer.exe'
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\7hxyklsc.cmdline"
Изменяет следующие настройки проводника Windows (Windows Explorer):
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\winlogon.exe
- %TEMP%\RES2.tmp
- %TEMP%\7hxyklsc.exe
- %TEMP%\7hxyklsc.cmdline
- %TEMP%\7hxyklsc.out
- %TEMP%\vbc1.tmp
- %HOMEPATH%\Templates\WowTumpeh.com
- <DRIVERS>\etc\hosts-Denied By-%USERNAME%.com
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\Host9[1].txt
- <LS_APPDATA>\ListHost9.txt
- <SYSTEM32>\%USERNAME%'s Setting.scr
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\BrontokInf9[1].txt
- <LS_APPDATA>\Update.9.Bron.Tok.bin
- %TEMP%\7hxyklsc.0.vb
- %WINDIR%\ShellNew\bronstab.exe
- %WINDIR%\eksplorasi.exe
- %TEMP%\OgfzqFMj.resources
- %TEMP%\svchost.exe
- %TEMP%\hinh passpo.exe
- <LS_APPDATA>\smss.exe
- <LS_APPDATA>\csrss.exe
- %TEMP%\25Gu5.resources
- %TEMP%\MSNPSharp.dll
- <LS_APPDATA>\services.exe
- <LS_APPDATA>\lsass.exe
- <LS_APPDATA>\inetinfo.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\eksplorasi.exe
- %WINDIR%\ShellNew\bronstab.exe
Удаляет следующие файлы:
- %TEMP%\~DF2F99.tmp
- %TEMP%\7hxyklsc.exe
- %TEMP%\~DFCE0C.tmp
- %TEMP%\~DFDC79.tmp
- <DRIVERS>\etc\hosts-Denied By-%USERNAME%.com
- %TEMP%\vbc1.tmp
- %TEMP%\RES2.tmp
- %TEMP%\7hxyklsc.out
- %TEMP%\7hxyklsc.0.vb
- %TEMP%\7hxyklsc.cmdline
Сетевая активность:
Подключается к:
- 'www.ge###ties.com':80
- '17#.#3.169.14':80
TCP:
Запросы HTTP GET:
- www.ge###ties.com/sembilstabok/Host9.txt
- www.ge###ties.com/sembilstabok/BrontokInf9.txt
UDP:
- DNS ASK www.ge###ties.com
- DNS ASK google.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
