Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'svchost.exe' = '<Полный путь к вирусу>'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' /pid=4480
- '<SYSTEM32>\reg.exe' /pid=4556
- '<SYSTEM32>\reg.exe' /pid=4152
- '<SYSTEM32>\reg.exe' /pid=5808
- '<SYSTEM32>\reg.exe' /pid=3928
- '<SYSTEM32>\reg.exe' /pid=244
- '<SYSTEM32>\reg.exe' /pid=5112
- '<SYSTEM32>\reg.exe' /pid=4600
- '<SYSTEM32>\reg.exe' /pid=5900
- '<SYSTEM32>\reg.exe' /pid=5080
- '<SYSTEM32>\reg.exe' /pid=4300
- '<SYSTEM32>\reg.exe' /pid=5000
- '<SYSTEM32>\reg.exe' /pid=3088
- '<SYSTEM32>\reg.exe' /pid=5540
- '<SYSTEM32>\reg.exe' /pid=5348
- '<SYSTEM32>\reg.exe' /pid=5424
- '<SYSTEM32>\reg.exe' /pid=5660
- '<SYSTEM32>\reg.exe' /pid=5752
- '<SYSTEM32>\reg.exe' /pid=5396
- '<SYSTEM32>\reg.exe' /pid=5568
- '<SYSTEM32>\reg.exe' /pid=5844
- '<SYSTEM32>\reg.exe' /pid=5932
- '<SYSTEM32>\reg.exe' /pid=5788
- '<SYSTEM32>\reg.exe' /pid=5732
- '<SYSTEM32>\reg.exe' /pid=6116
- '<SYSTEM32>\reg.exe' /pid=5264
- '<SYSTEM32>\reg.exe' /pid=6040
- '<SYSTEM32>\reg.exe' /pid=6076
- '<SYSTEM32>\reg.exe' /pid=5380
- '<SYSTEM32>\reg.exe' /pid=5228
- '<SYSTEM32>\reg.exe' /pid=2856
- '<SYSTEM32>\reg.exe' /pid=3096
- '<SYSTEM32>\reg.exe' /pid=1844
- '<SYSTEM32>\reg.exe' /pid=3588
- '<SYSTEM32>\reg.exe' /pid=2508
- '<SYSTEM32>\reg.exe' /pid=2544
- '<SYSTEM32>\reg.exe' /pid=3628
- '<SYSTEM32>\reg.exe' /pid=916
- '<SYSTEM32>\reg.exe' /pid=816
- '<SYSTEM32>\reg.exe' /pid=1200
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d "yahoo.com.tw" /f
- '<SYSTEM32>\reg.exe' /pid=308
- '<SYSTEM32>\cmd.exe' /c "%PROGRAM_FILES%\f.bat"
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /f
- '<SYSTEM32>\reg.exe' /pid=2204
- '<SYSTEM32>\reg.exe' /pid=3536
- '<SYSTEM32>\reg.exe' /c "%PROGRAM_FILES%\f.bat"
- '<SYSTEM32>\reg.exe' /pid=2252
- '<SYSTEM32>\reg.exe' /pid=5588
- '<SYSTEM32>\reg.exe' /pid=4800
- '<SYSTEM32>\reg.exe' /pid=5516
- '<SYSTEM32>\reg.exe' /pid=5564
- '<SYSTEM32>\reg.exe' /pid=5784
- '<SYSTEM32>\reg.exe' /pid=4960
- '<SYSTEM32>\reg.exe' /pid=5664
- '<SYSTEM32>\reg.exe' /pid=5764
- '<SYSTEM32>\reg.exe' /pid=760
- '<SYSTEM32>\reg.exe' /pid=2684
- '<SYSTEM32>\reg.exe' /pid=768
- '<SYSTEM32>\reg.exe' /pid=2668
- '<SYSTEM32>\reg.exe' /pid=5452
- '<SYSTEM32>\reg.exe' /pid=4688
- '<SYSTEM32>\reg.exe' /pid=3296
- '<SYSTEM32>\reg.exe' /pid=5332
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\reg.exe
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\f.bat
Сетевая активность:
Подключается к:
- '<IP-адрес в локальной сети>':7000
- 'localhost':1037
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
