Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\sr] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\srservice] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Создает и запускает на исполнение:
- '%TEMP%\PEVZ.EXE' -td "%HOMEPATH%\Downloads"
- '%TEMP%\PEVZ.EXE' -rtd "%ALLUSERSPROFILE%\Desktop"
- '%TEMP%\PEVZ.EXE' -td "C:\Documents and Settings\LocalService\Downloads"
- '%TEMP%\PEVZ.EXE' -td "C:\Documents and Settings\NetworkService\Downloads"
- '%TEMP%\PEVZ.EXE' -rtd "C:\Documents and Settings\NetworkService\Desktop"
- '%TEMP%\PEVZ.EXE' -rtd "%HOMEPATH%\Desktop"
- '%TEMP%\PEVZ.EXE' -rtd "C:\Documents and Settings\Default User\Desktop"
- '%TEMP%\PEVZ.EXE' -rtd "C:\Documents and Settings\LocalService\Desktop"
- '%TEMP%\PEVZ.EXE' -td "C:\Documents and Settings\Default User\Downloads"
- '%TEMP%\wget.exe' http://www.hi###kthis.nl/smeenk/sample/download6.bat
- '%TEMP%\PEVZ.EXE' MOVEEX "%TEMP%\zoek.com"
- '%TEMP%\1.tmp\PEVZ.EXE' clist
- '%TEMP%\1.tmp\PEVZ.EXE' PLIST
- '%TEMP%\PEVZ.EXE' -rtd "C:\Documents and Settings\*"
- '%TEMP%\PEVZ.EXE' -td "%ALLUSERSPROFILE%\Downloads"
- '%TEMP%\PEVZ.EXE' -k wscript.exe
- '%TEMP%\PEVZ.EXE' -k cscript.exe
Запускает на исполнение:
- '<SYSTEM32>\cscript.exe' //I //nologo os.vbs
- '<SYSTEM32>\cscript.exe' //I //nologo test.vbs
- '<SYSTEM32>\cscript.exe' //I //nologo drt.vbs
- '<SYSTEM32>\findstr.exe' /M /I "4.0.0.4"
- '<SYSTEM32>\reg.exe' Query HKLM\Hardware\Description\System\CentralProcessor\0
- '<SYSTEM32>\find.exe' /i "x86"
- '<SYSTEM32>\findstr.exe' /V " ( "
- '<SYSTEM32>\findstr.exe' /M " ( "
- '<SYSTEM32>\mshta.exe' "%TEMP%\zoek.hta"
- '<SYSTEM32>\reg.exe' export "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders" elog.txt
- '<SYSTEM32>\findstr.exe' /M "="
- '<SYSTEM32>\findstr.exe' /M /I /C:"Common Desktop"
- '<SYSTEM32>\findstr.exe' /M /I "mshta.exe"
- '<SYSTEM32>\findstr.exe' /M /I "zoek"
- '<SYSTEM32>\findstr.exe' /M /I ".com"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\zoek-install.bat" "
- '<SYSTEM32>\findstr.exe' /M /I "zoek.bat"
- '<SYSTEM32>\findstr.exe' -RIV "C:\\WINDOWS\\system32\\svchost.exe C:\\WINDOWS\\system32\\cmd.exe \\PEVZ.exe" ProcessList.txt
- '<SYSTEM32>\cmd.exe' /c zoek.bat
- '<SYSTEM32>\attrib.exe' -r -s -h "%TEMP%\1.tmp\*.*"
- '<SYSTEM32>\attrib.exe' -r -s -h "%TEMP%\1.tmp"
- '<SYSTEM32>\findstr.exe' /M /I ".pif"
- '<SYSTEM32>\findstr.exe' /M /I ".scr"
- '<SYSTEM32>\findstr.exe' /M /I ".exe"
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cscript.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\log2
- %TEMP%\log3
- %TEMP%\shortcut.exe
- %TEMP%\checkOS.txt
- %TEMP%\tmp.txt
- %TEMP%\log.txt
- %TEMP%\hijackthis.exe
- %TEMP%\NirCmd.exe
- %TEMP%\zoek-delete.exe
- %TEMP%\zoekrun.hta
- %TEMP%\7za.exe
- %TEMP%\swxcacls.exe
- %TEMP%\sed.exe
- %TEMP%\StringCheck.txt
- %TEMP%\users.txt
- %TEMP%\audesktop.txt
- %TEMP%\exportit.txt
- %TEMP%\0.zoek
- %TEMP%\desktop.txt
- %TEMP%\downloads.txt
- %TEMP%\elog1.txt
- %TEMP%\test.vbs
- %TEMP%\ostmp.tmp
- %TEMP%\os.vbs
- %TEMP%\elog.txt
- %TEMP%\drt.vbs
- %TEMP%\tmp1.txt
- %TEMP%\remove.exe
- %TEMP%\1.tmp\z8.scf
- %TEMP%\1.tmp\z7.scf
- %TEMP%\1.tmp\z6.scf
- %TEMP%\1.tmp\zb.scf
- %TEMP%\1.tmp\za.scf
- %TEMP%\1.tmp\z9.scf
- %TEMP%\1.tmp\z5.scf
- %TEMP%\1.tmp\z1.scf
- %TEMP%\1.tmp\z0.scf
- %TEMP%\1.tmp\zoek-install.bat
- %TEMP%\1.tmp\z4.scf
- %TEMP%\1.tmp\z3.scf
- %TEMP%\1.tmp\z2.scf
- %TEMP%\1.tmp\zc.scf
- %TEMP%\zoek.bat
- %TEMP%\zoek.hta
- %TEMP%\1.tmp\log.txt
- %TEMP%\wget.exe
- %TEMP%\PEVZ.EXE
- %TEMP%\swreg.exe
- %TEMP%\urlzoek
- %TEMP%\1.tmp\PEVZ.EXE
- %TEMP%\1.tmp\ze.scf
- %TEMP%\1.tmp\zd.scf
- %TEMP%\1.tmp\logje.txt
- %TEMP%\1.tmp\ProcessList.txt
- %TEMP%\1.tmp\clist.txt
Удаляет следующие файлы:
- %TEMP%\StringCheck.txt
- %TEMP%\tmp.txt
- %TEMP%\os.vbs
- %TEMP%\checkOS.txt
- %TEMP%\log3
- %TEMP%\1.tmp\PEVZ.EXE
- %TEMP%\1.tmp\log.txt
- %TEMP%\log2
- %TEMP%\1.tmp\zoek-install.bat
- %TEMP%\exportit.txt
- %TEMP%\elog1.txt
- %TEMP%\users.txt
- %TEMP%\audesktop.txt
- %TEMP%\elog.txt
- %TEMP%\tmp1.txt
- %TEMP%\test.vbs
- %TEMP%\ostmp.tmp
- %TEMP%\drt.vbs
- %TEMP%\1.tmp\z3.scf
- %TEMP%\1.tmp\z2.scf
- %TEMP%\1.tmp\z5.scf
- %TEMP%\1.tmp\z4.scf
- %TEMP%\1.tmp\z1.scf
- %TEMP%\1.tmp\ProcessList.txt
- %TEMP%\1.tmp\clist.txt
- %TEMP%\1.tmp\z0.scf
- %TEMP%\1.tmp\logje.txt
- %TEMP%\1.tmp\zc.scf
- %TEMP%\1.tmp\zb.scf
- %TEMP%\1.tmp\ze.scf
- %TEMP%\1.tmp\zd.scf
- %TEMP%\1.tmp\za.scf
- %TEMP%\1.tmp\z7.scf
- %TEMP%\1.tmp\z6.scf
- %TEMP%\1.tmp\z9.scf
- %TEMP%\1.tmp\z8.scf
Сетевая активность:
Подключается к:
- 'www.hi###kthis.nl':80
TCP:
Запросы HTTP GET:
- www.hi###kthis.nl/smeenk/sample/download6.bat
UDP:
- DNS ASK www.hi###kthis.nl
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'HTML Application Host Window Class' WindowName: '(null)'
