Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Java(TM)' = '%APPDATA%\system.cpl'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Java(TMx2)' = '%APPDATA%\system.cpl'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' shell32.dll,Control_RunDLL "%APPDATA%\JavaUpdate.cpl"
- '<SYSTEM32>\netsh.exe' firewall set opmode disable
- '<SYSTEM32>\reg.exe' add HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v Java(TM) /t REG_SZ /d "%APPDATA%\system.cpl"
- '<SYSTEM32>\regsvr32.exe' /s "%APPDATA%\JavaUpdate.dll"
- '<SYSTEM32>\rundll32.exe' shell32.dll,Control_RunDLL "%APPDATA%\system.cpl",
- '<SYSTEM32>\reg.exe' add HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v Java(TMx2) /t REG_SZ /d "%APPDATA%\system.cpl"
- '<SYSTEM32>\wscript.exe' "%APPDATA%\JavaUpdatex.vbs"
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments] 'SaveZoneInformation' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Associations] 'LowRiskFileTypes' = '.zip;.rar;.nfo;.txt;.exe;.bat;.com;.cmd;.reg;.msi;.htm;.html;.gif;.bmp;.jpg;.avi;.mpg;.mpeg;.mov;.mp3;.m3u;.wav;.scr;'
- [<HKCU>\Software\Microsoft\Internet Explorer\Download] 'CheckExeSignatures' = 'no'
- [<HKCU>\Software\Microsoft\Internet Explorer\Download] 'RunInvalidSignatures' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\system.cpl
- %APPDATA%\JavaUpdate.cpl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\response[1].asp
- %APPDATA%\JavaUpdate.dll
- %APPDATA%\JavaUpdate.vbs
- %APPDATA%\JavaUpdatex.vbs
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\response[1].asp
Сетевая активность:
Подключается к:
- 'pe###37992.net':80
- 'pe######92.thaieasydns.com':80
- 'pe###37993.net':80
- 'au##.#earch.msn.com':80
- 'localhost':1045
- 'pe######91.thaieasydns.com':80
- 'pe######93.thaieasydns.com':80
- 'pe###37994.net':80
- 'pe#####990.onmypc.info':80
- 'pe#####991.onmypc.info':80
- 'pe######90.thaieasydns.com':80
TCP:
Запросы HTTP GET:
- pe######92.thaieasydns.com/stty.txt
- pe######91.thaieasydns.com/stty.txt
- pe###37992.net/stty.txt
- au##.#earch.msn.com/response.asp?MT##########################
- pe###37993.net/stty.txt
- pe######93.thaieasydns.com/stty.txt
- pe###37994.net/stty.txt
- pe#####990.onmypc.info/stty.txt
- pe#####991.onmypc.info/stty.txt
- pe######90.thaieasydns.com/stty.txt
UDP:
- DNS ASK pe######92.thaieasydns.com
- DNS ASK pe######91.thaieasydns.com
- DNS ASK pe###37992.net
- DNS ASK au##.#earch.msn.com
- DNS ASK pe###37993.net
- DNS ASK pe######93.thaieasydns.com
- DNS ASK pe###37994.net
- DNS ASK pe#####990.onmypc.info
- DNS ASK pe#####991.onmypc.info
- DNS ASK pe######90.thaieasydns.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
