Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%WINDIR%\ntsock.exe'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%WINDIR%\ntsys.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'winabc' = 'rundll32.exe %TEMP%\uboot.dll,abcLaunchEv'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\ntsock.exe'
- '%WINDIR%\ntsys.exe'
- 'C:\uboot.bin'
- 'C:\ntboot.bin'
Запускает на исполнение:
- '<SYSTEM32>\dumprep.exe' 2856 -dm 7 7 %TEMP%\WER4a9a.dir00\rundll32.exe.hdmp 16325836412027456
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\sysdm.cpl,NoExecuteProcessException <SYSTEM32>\rundll32.exe
- '<SYSTEM32>\rundll32.exe' %TEMP%\uboot.dll,abcLaunchEv
- '<SYSTEM32>\dumprep.exe' 2856 -dm 7 7 %TEMP%\WER4a9a.dir00\rundll32.exe.mdmp 16325836412027436
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: %WINDIR%\ntkros.dll
- Библиотека-обработчик для всех процессов: %WINDIR%\ntsocks.dll
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\WER4a9a.dir00\manifest.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\PWSJH1CL\desktop.ini
- %TEMP%\WER4a9a.dir00\appcompat.txt
- %TEMP%\WER4a9a.dir00\rundll32.exe.mdmp
- %TEMP%\WER4a9a.dir00\rundll32.exe.hdmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\PWSJH1CL\m[1].htm
- %TEMP%\Ole1.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\CVZ3MWXD\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\45A78DEF\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\PZRJPL4E\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\i[1].htm
- %WINDIR%\ntsock.exe
- %WINDIR%\ntsocks.dll
- C:\ntboot.bin
- C:\uboot.bin
- %TEMP%\uboot.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\spcode[1].dat
- %TEMP%\sp.dat
- %WINDIR%\ntsys.exe
- %WINDIR%\ntkros.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\45A78DEF\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\PZRJPL4E\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\CVZ3MWXD\desktop.ini
- %WINDIR%\ntkros.dll
- %WINDIR%\ntsys.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\PWSJH1CL\desktop.ini
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\i[1].htm
- C:\ntboot.bin
- C:\uboot.bin
Самоудаляется.
Сетевая активность:
Подключается к:
- 'zb.#990.com':80
- 'zb.#o-t.com':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- zb.#990.com/m.htm
- zb.#o-t.com/i.htm
- zb.#o-t.com/spcode.dat
UDP:
- DNS ASK zb.#990.com
- DNS ASK zb.#o-t.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'My Muma'
