Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\At1.job
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\osk.exe'
- '<SYSTEM32>\cleanmgr.exe'
- '<SYSTEM32>\sol.exe'
- '<SYSTEM32>\mspaint.exe'
- '<SYSTEM32>\svchost.exe' -k imgsvc
- '<SYSTEM32>\msswchx.exe' SWCH
- '<SYSTEM32>\at.exe' 17:00 shutdown -s -f -t 00 -c "Finalizado"
- '<SYSTEM32>\calc.exe'
- '<SYSTEM32>\notepad.exe'
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\Ejecutar programas.bat""
- '<SYSTEM32>\tourstart.exe'
- '<SYSTEM32>\winmine.exe'
- '<SYSTEM32>\sndrec32.exe'
- '<SYSTEM32>\mobsync.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\radiopresets[1].asp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mediaguide[1].asp
- %TEMP%\1.tmp\Ejecutar programas.bat
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mediaguide[1].asp
- %TEMP%\1.tmp\Ejecutar programas.bat
Сетевая активность:
Подключается к:
- 'wi####smedia.com':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- wi####smedia.com/redir/radiopresets.asp?lo###########################
- wi####smedia.com/redir/mediaguide.asp?WM############################################
UDP:
- DNS ASK wi####smedia.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MovieMakerWndClass' WindowName: '(null)'
- ClassName: 'Type32_Main_Window' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'WMP9DeskBand' WindowName: 'WMP9DeskBand'
- ClassName: 'ReBarWindow32' WindowName: ''
