Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'slave32' = '<SYSTEM32>\Slavesystem.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>\Slavesystem.exe' = '<SYSTEM32>\Slavesystem.exe:*:Enabled:Dnode'
Создает и запускает на исполнение:
- '%WINDIR%\PasswordFox.exe' /stext C:\PasswordFox.txt
- '%WINDIR%\mailpv.exe' /stext C:\mailpv.txt
- '<SYSTEM32>\ldapi32.exe'
- '<SYSTEM32>\Slavesystem.exe'
- '%WINDIR%\start.exe'
- '%WINDIR%\go.exe'
- '%WINDIR%\mspass.exe' /stext C:\mspass.txt
- 'C:\Slave.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\2.tmp\start.bat""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\go.bat""
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKLM>\Software\Mirabilis\ICQ\NewOwners]
- [<HKCU>\Software\Yahoo\Pager]
- [<HKCU>\Software\AIM\AIMPRO]
- [<HKCU>\Software\Paltalk]
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKCU>\Software\Mirabilis\ICQ\NewOwners]
- [<HKCU>\Software\Microsoft\MSNMessenger]
- [<HKLM>\Software\Miranda]
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Trillian]
- [<HKCU>\Software\America Online\AIM6\Passwords]
- [<HKCU>\Software\Microsoft\IdentityCRL]
- [<HKCU>\Software\Microsoft\MessengerService]
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\2.tmp\start.bat
- \Device\LanmanRedirector\127.0.0.1\pipe\svcctl
- C:\Slave.exe
- %WINDIR%\testo.txt
- %TEMP%\1.tmp\go.bat
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\drivetable.txt
- <SYSTEM32>\ntcvx32.dll
- <SYSTEM32>\ldapi32.exe
- <SYSTEM32>\ntswrl32.dll
- <SYSTEM32>\Slavesystem.exe
- C:\mailpv.txt
- %WINDIR%\go.exe
- %WINDIR%\iepv.exe
- %WINDIR%\blat.lib
- %WINDIR%\blat.dll
- %WINDIR%\blat.exe
- %WINDIR%\mailpv.exe
- %WINDIR%\Slave.exe
- %WINDIR%\start.exe
- %WINDIR%\RAR.exe
- %WINDIR%\mspass.exe
- %WINDIR%\PasswordFox.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\RAR.exe
- <SYSTEM32>\Slavesystem.exe
- %WINDIR%\mspass.exe
- %WINDIR%\iepv.exe
- %WINDIR%\mailpv.exe
Удаляет следующие файлы:
- <SYSTEM32>\ldapi32.exe
- %TEMP%\1.tmp\go.bat
Сетевая активность:
Подключается к:
- '<IP-адрес в локальной сети>':15963
- 'localhost':139
- 'localhost':445
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
