Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\mlJCVpNh] 'Logon' = 'o'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\mlJCVpNh] 'DllName' = 'mlJCVpNh.dll'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] '{14370F76-7676-44A2-AD11-93A31C5FC9FC}' = ''
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\UYRD4E\csrss.exe'
- '%WINDIR%\17PHolmes1044.exe' 61A847B5BBF72813329F3C466188719AB689201522886B092CBD44BD8689220221DD3257
- '%TEMP%\UYRD4E\keygen.exe'
- '%TEMP%\UYRD4E\alg.exe'
- '%WINDIR%\17PHolmes1044.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\un.bat" "
- '<SYSTEM32>\cmd.exe' /c %TEMP%\removalfile.bat "%TEMP%\UYRD4E\alg.exe"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\UYRD4E\csrss.exe
- %TEMP%\removalfile.bat
- <SYSTEM32>\mlJCVpNh.dll
- %TEMP%\un.bat
- %WINDIR%\17PHolmes1044.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\17PHolmes[1].cmt
- %TEMP%\UYRD4E\alg.dat
- %TEMP%\UYRD4E\keygen.exe
- %TEMP%\nsz2.tmp
- %TEMP%\UYRD4E\alg.exe
- %TEMP%\nsf3.tmp\DcryptDll.dll
- %TEMP%\UYRD4E\csrss.dat
Удаляет следующие файлы:
- %TEMP%\UYRD4E\csrss.dat
- %TEMP%\nsf3.tmp\DcryptDll.dll
- %TEMP%\UYRD4E\alg.dat
- %TEMP%\UYRD4E\alg.exe
- %TEMP%\UYRD4E\csrss.exe
Сетевая активность:
Подключается к:
- 'ym#.###44.wrs.mcboo.com':80
TCP:
Запросы HTTP GET:
- ym#.###44.wrs.mcboo.com/17PHolmes.cmt
UDP:
- DNS ASK ym#.###44.wrs.mcboo.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
