Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '36597Temp.exe' = '%APPDATA%\36597Temp.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '95809Temp.exe' = '%APPDATA%\95809Temp.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\7v6zSTQsS5t6\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '54496Temp.exe' = '%APPDATA%\54496Temp.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\7v6zSTQsS5t6\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\7v6zSTQsS5t6\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\7v6zSTQsS5t6\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\7v6zSTQsS5t6\Temp.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\7v6zSTQsS5t6\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\7v6zSTQsS5t6\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\7v6zSTQsS5t6\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\7v6zSTQsS5t6\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\7v6zSTQsS5t6\Temp.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\7v6zSTQsS5t6\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '81237Temp.exe' = '%APPDATA%\81237Temp.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '76277Temp.exe' = '%APPDATA%\76277Temp.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '90030<Имя вируса>.exe' = '%APPDATA%\90030<Имя вируса>.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MicroUpdate' = '%TEMP%\MSDCSC\Temp.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MicroUpdate' = '%TEMP%\MSDCSC\7v6zSTQsS5t6\Temp.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\7v6zSTQsS5t6\Temp.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe,C:\DOCUME~1\%USERNAME%\LOCALS~1\Temp\MSDCSC\Temp.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '15173Temp.exe' = '%APPDATA%\15173Temp.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%APPDATA%\95809Temp.exe'
- '%APPDATA%\36597Temp.exe'
- '%APPDATA%\81237Temp.exe'
- '%APPDATA%\36505Temp.exe'
- '%APPDATA%\34343Temp.exe'
- '%TEMP%\MSDCSC\7v6zSTQsS5t6\Temp.exe'
- '%TEMP%\MSDCSC\Temp.exe'
- '%APPDATA%\90030<Имя вируса>.exe'
- '%APPDATA%\76277Temp.exe'
- '%APPDATA%\54496Temp.exe'
- '%APPDATA%\15173Temp.exe'
Запускает на исполнение:
- '<SYSTEM32>\notepad.exe'
- '<SYSTEM32>\cmd.exe' /c %HOMEPATH%\Local Settings\Tempscratch.cmd
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\notepad.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\36597Temp.exe
- %TEMP%\MSDCSC\7v6zSTQsS5t6\Temp.exe
- %APPDATA%\54496Temp.exe
- %APPDATA%\95809Temp.exe
- %APPDATA%\36505Temp.exe
- %APPDATA%\34343Temp.exe
- %APPDATA%\81237Temp.exe
- %TEMP%\aut1.tmp
- %HOMEPATH%\Local Settings\Tempscratch.cmd
- %APPDATA%\90030<Имя вируса>.exe
- %TEMP%\img9.jpg
- %APPDATA%\15173Temp.exe
- %APPDATA%\76277Temp.exe
- %TEMP%\MSDCSC\Temp.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\81237Temp.exe
- %APPDATA%\95809Temp.exe
- %APPDATA%\36505Temp.exe
- %APPDATA%\34343Temp.exe
- %APPDATA%\36597Temp.exe
- %APPDATA%\76277Temp.exe
- %APPDATA%\90030<Имя вируса>.exe
- %APPDATA%\54496Temp.exe
- %APPDATA%\15173Temp.exe
Удаляет следующие файлы:
- %TEMP%\MSDCSC\Temp.exe
- %TEMP%\MSDCSC\7v6zSTQsS5t6\Temp.exe
- %HOMEPATH%\Local Settings\Tempscratch.cmd
- %TEMP%\aut1.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ny####123.no-ip.biz':1604
UDP:
- DNS ASK ny####123.no-ip.biz
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: '#32770' WindowName: '<Служебное имя>'
