Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MSlgx' = '<SYSTEM32>\MSlgx.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MSlg' = '<SYSTEM32>\MSlg.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Текущая директория>\MSlgx.exe' = '<Текущая директория>\MSlgx.exe:*:Enabled:Microsoft Windows Update Platform'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:Microsoft Windows Update Platform'
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '<SYSTEM32>\MSlg.exe'
- '<Текущая директория>\MSlgx.exe'
Запускает на исполнение:
- '<SYSTEM32>\logonui.exe' /status /shutdown
Пытается завершить работу операционной системы Windows.
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\kilinhx.txt
- <SYSTEM32>\MSlgx.exe
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\_filelst.cfg
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\drivetable.txt
- <Текущая директория>\libeay32.dll
- <SYSTEM32>\MSlg.exe
- <Текущая директория>\MSlgx.exe
- <Текущая директория>\ssleay32.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- <Текущая директория>\MSlgx.exe
- <Текущая директория>\ssleay32.dll
- <Текущая директория>\libeay32.dll
Удаляет следующие файлы:
- <SYSTEM32>\Restore\MachineGuid.txt
Сетевая активность:
Подключается к:
- 'bl#####fistinha.com.br':80
TCP:
Запросы HTTP POST:
- bl#####fistinha.com.br/act/act1/leo.php
UDP:
- DNS ASK bl#####fistinha.com.br
Другое:
Ищет следующие окна:
- ClassName: 'Chrome_WidgetWin_0' WindowName: 'Power Meter'
- ClassName: 'Chrome_WidgetWin_0' WindowName: 'MS_WebcheckMonitor'
- ClassName: 'Chrome_WidgetWin_0' WindowName: 'Connections Tray'
- ClassName: 'Chrome_WidgetWin_0' WindowName: 'Tiny H-Pot v1.7'
- <Служебный элемент>
- ClassName: 'Chrome_WidgetWin_0' WindowName: 'Program Manager'
- ClassName: 'Chrome_WidgetWin_0' WindowName: 'You are running very low on disk space on Local Disk (C:). To free space on this drive by deleting old or unnecessary files, click here...'
- ClassName: 'StatusWindowClass' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: 'Chrome_WidgetWin_0' WindowName: 'Mslg'
- ClassName: 'Chrome_WidgetWin_0' WindowName: ''
- ClassName: 'Chrome_WidgetWin_0' WindowName: 'Form1'
- ClassName: 'Chrome_WidgetWin_0' WindowName: 'TF_FloatingLangBar_WndTitle'
- ClassName: 'NDDEAgnt' WindowName: 'NetDDE Agent'
- ClassName: 'Chrome_WidgetWin_0' WindowName: 'CiceroUIWndFrame'
- ClassName: 'Chrome_WidgetWin_0' WindowName: 'Mslgx'
- ClassName: 'Chrome_WidgetWin_0' WindowName: '<WINDOWS_KILLER>'
- ClassName: 'Chrome_WidgetWin_0' WindowName: '<SYSTEM32>\cscript.exe'
- ClassName: 'Chrome_WidgetWin_0' WindowName: '<Служебное имя> - build Mar 22 2011'
- ClassName: 'Chrome_WidgetWin_0' WindowName: '894sd89fsd894gsd89g8sd89g89sd89g9s4dgsd'
- ClassName: 'Chrome_WidgetWin_0' WindowName: '<Служебное имя>'
