Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{538BE447-9BCE-2253-ABD0-37644BD06662}] 'StubPath' = '%WINDIR%\Stare.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{613BE673-9BCE-5322-ABD0-14664BD07141}] 'StubPath' = '%WINDIR%\Stare.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{D29BE935-9BCE-8667-ABD0-19894BD02703}] 'StubPath' = '%WINDIR%\Stare.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{542BE464-9BCE-1040-ABD0-32648BD01446}] 'StubPath' = '%WINDIR%\Stare.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{275BE690-9BCE-4316-ABD0-11842BD01288}] 'StubPath' = '%WINDIR%\Stare.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{289BE723-9BCE-3037-ABD0-19741BD01529}] 'StubPath' = '%WINDIR%\Stare.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{E46BE471-9BCE-6447-ABD0-21538BD02869}] 'StubPath' = '%WINDIR%\Stare.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{728BE962-9BCE-3478-ABD0-34464BD06705}] 'StubPath' = '%WINDIR%\Stare.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'Explorer.exe %WINDIR%\Stare.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{E27BE134-9BCE-1041-ABD0-36500BD02169}] 'StubPath' = '%WINDIR%\Stare.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{362BE421-9BCE-1292-ABD0-28716BD02718}] 'StubPath' = '%WINDIR%\Stare.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{546BE991-9BCE-5827-ABD0-24604BD04902}] 'StubPath' = '%WINDIR%\Stare.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{C97BE161-9BCE-6281-ABD0-10491BD03995}] 'StubPath' = '%WINDIR%\Stare.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\Stare.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\SystemXP.dll
- %WINDIR%\Stare.exe
- <SYSTEM32>\25360\Stare.exe
- %WINDIR%\krnln.fnr
- %WINDIR%\12.txt
- %WINDIR%\dp1.fne
- %WINDIR%\spec.fne
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\spec.fne
- %WINDIR%\SystemXP.dll
- %WINDIR%\Stare.exe
- %WINDIR%\dp1.fne
- %WINDIR%\12.txt
- <Полный путь к вирусу>
- %WINDIR%\krnln.fnr
Удаляет следующие файлы:
- %WINDIR%\12.txt
Самоудаляется.
Сетевая активность:
Подключается к:
- 'qa#####0411.3322.org':8880
UDP:
- DNS ASK qa#####0411.3322.org
