Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'RAVBG' = '<SYSTEM32>\egbsys.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Запускает на исполнение:
- '%WINDIR%\regedit.exe' /s "%APPDATA%\triage.reg"
- '<SYSTEM32>\taskkill.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\taskkill.exe' /pid=836
- '<SYSTEM32>\attrib.exe' +h +a +r "%APPDATA%\triage.pac"
- '<SYSTEM32>\taskkill.exe' /IM "gbpsv.exe" /F
- '<SYSTEM32>\cmd.exe' /c ""C:\confiDel.bat""
- '<SYSTEM32>\cmd.exe' /c ""C:\louisVittoin.bat""
- '<SYSTEM32>\cmd.exe' /c ""C:\bruCenD.bat""
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\taskkill.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnonBadCertRecving' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Internet Explorer.lnk
- %HOMEPATH%\Start Menu\Programs\Internet Explorer.lnk
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk
- %HOMEPATH%\Desktop\Internet Explorer.lnk
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\lili[1].txt
- <DRIVERS>\etc\hostss1
- C:\louisVittoin.txt
- %APPDATA%\triage.reg
- %APPDATA%\channelando.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\testando[1].gif
- <SYSTEM32>\egbsys.exe
- C:\confiDel.txt
- C:\triage.pac
- C:\bruCenD.txt
- C:\asystray.gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\pacudao[1].txt
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\triage.pac
- <Полный путь к вирусу>
- <SYSTEM32>\egbsys.exe
Удаляет следующие файлы:
- C:\asystray.gif
- %APPDATA%\triage.reg
- C:\louisVittoin.bat
- C:\confiDel.bat
- %HOMEPATH%\Desktop\Internet Explorer.lnk
- C:\bruCenD.bat
Перемещает следующие файлы:
- C:\louisVittoin.txt в C:\louisVittoin.bat
- C:\triage.pac в %APPDATA%\triage.pac
- C:\confiDel.txt в C:\confiDel.bat
- C:\bruCenD.txt в C:\bruCenD.bat
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'te###.dyndns.tv':80
- 'co####cum.mine.nu':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- co####cum.mine.nu/lili.txt
- co####cum.mine.nu/pacudao.txt
- co####cum.mine.nu/testando.gif
Запросы HTTP POST:
- te###.dyndns.tv/env.php
UDP:
- DNS ASK te###.dyndns.tv
- DNS ASK co####cum.mine.nu
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
Изменяет значение AutoConfigURL
