Техническая информация
Для обеспечения автозапуска и распространения:
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\spoolsv.exe файлом <SYSTEM32>\dllcache\spoolsv.exe.new
- <SYSTEM32>\spoolsv.exe файлом <SYSTEM32>\spoolsv.exe.new
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\spoolsv.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1803' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\4L8TINS9\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\MUM0OC76\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\8DUVGD2B\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\W9V7R70Z\desktop.ini
- %TEMP%\1.tmp
- %WINDIR%\Temp\3.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\MUM0OC76\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\8DUVGD2B\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\W9V7R70Z\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\4L8TINS9\desktop.ini
Удаляет следующие файлы:
- %WINDIR%\Temp\3.tmp
- %TEMP%\1.tmp
Перемещает следующие системные файлы:
- <SYSTEM32>\spoolsv.exe в %WINDIR%\Temp\4.tmp
Перемещает следующие файлы:
- <SYSTEM32>\dllcache\spoolsv.exe.new в <SYSTEM32>\dllcache\spoolsv.exe
Самоперемещается:
- из <Полный путь к вирусу> в %TEMP%\2.tmp
Сетевая активность:
Подключается к:
- 'an####ongibson.net':80
- 'ma###nstark.org':80
TCP:
Запросы HTTP GET:
- an####ongibson.net/f/24
- ma###nstark.org/d/UJTaXDfaO88V524tzHWeUGca%2foCyLyg%2bd1WCMy0%2fswRlX7LmikgEKrPmmNjFyAK%2fdBQ%3d/
- ma###nstark.org/c/W9OJVCjbMchGsWglwWufWTFH5ICyLS0iJlbRMDkztlg2WrCyxEpVNLOpndSNplLgIU9EMgAGMD8frCESaDVpKdhD9%2birab%2bSYa6ruQeiQasg%2bKjIKP9USBpOyAMhvI4UlBIzsxnUfVoej%2fAio9kIY%2fS4B8nJUuvx48aHevtM6ehI9hGLOjDl/
- ma###nstark.org/k/24
UDP:
- DNS ASK an####ongibson.net
- DNS ASK ma###nstark.org
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'woesSJ UzBrnpZEqH'
- ClassName: '(null)' WindowName: 'z aVS'
- ClassName: '(null)' WindowName: 'qhiMwp'
- ClassName: '(null)' WindowName: 'xi '
- ClassName: '(null)' WindowName: 'x cSdN'
- ClassName: '(null)' WindowName: 'gZ wZvgn'
- ClassName: '(null)' WindowName: 'jjb'
- ClassName: '(null)' WindowName: 'ru yCux'
- ClassName: '(null)' WindowName: 'n axlxi'
- ClassName: '(null)' WindowName: 'PzqVzHdZl'
- ClassName: '(null)' WindowName: 'cyczfzziXUyvIwhR'
- ClassName: '(null)' WindowName: 'e ooDstvD'
- ClassName: '(null)' WindowName: 'smpv'
- ClassName: '(null)' WindowName: 'rjEd'
- ClassName: '(null)' WindowName: 'vkeuNn'
