Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\winmgmt] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\wbem\wmplayer.exe'
- '<SYSTEM32>\wxclear.exe'
Запускает на исполнение:
- '<SYSTEM32>\xcopy.exe' /c /s /h /d /y <SYSTEM32>\GroupPolicy\wxap.dll <SYSTEM32>\
- '<SYSTEM32>\cacls.exe' "%PROGRAM_FILES%\E-yoo\EyooSechelper2.dll" /e /d everyone
- '<SYSTEM32>\xcopy.exe' /c /s /h /d /y <SYSTEM32>\GroupPolicy\wxautouplist.sgn <SYSTEM32>\
- '<SYSTEM32>\sc.exe' start winmgmt
- '<SYSTEM32>\xcopy.exe' /c /s /h /d /y <SYSTEM32>\GroupPolicy\CltUpdate.exe <SYSTEM32>\
- '<SYSTEM32>\sc.exe' config winmgmt start= demand
- '<SYSTEM32>\xcopy.exe' /c /s /h /d /y <SYSTEM32>\GroupPolicy\pefw.sys <DRIVERS>\
- '%WINDIR%\regedit.exe' /s system.reg
- '<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\GroupPolicy\run.bat" "
- '<SYSTEM32>\xcopy.exe' /c /s /h /d /y <SYSTEM32>\GroupPolicy\wxautouplist.zip <SYSTEM32>\
- '<SYSTEM32>\regsvr32.exe' /s "<SYSTEM32>\MSWINSCK.OCX"
- '<SYSTEM32>\xcopy.exe' /c /s /h /d /y <SYSTEM32>\GroupPolicy\wxcliker.sys <SYSTEM32>\
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\server[1].txt
- %TEMP%\~DFA567tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\server[1].txt
- <SYSTEM32>\wbem\app.\interant.exe
- %TEMP%\~DF08A3.TMP
- <SYSTEM32>\MSWINSCK.OCX
- %TEMP%\~DF0B8C.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\list[1].ini
- %TEMP%\~DF0A8B.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\server[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\server[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\wmplayer[1].ini
- <SYSTEM32>\wxclear.exe
- %TEMP%\aut3.tmp
- <SYSTEM32>\interant.exe
- %TEMP%\aut1.tmp
- %TEMP%\bdcekcp
- %TEMP%\aut2.tmp
- <SYSTEM32>\GroupPolicy\Machine\Registry.pol
- <SYSTEM32>\GroupPolicy\system.reg
- <SYSTEM32>\GroupPolicy\Run.bat
- %TEMP%\aut4.tmp
- <SYSTEM32>\wbem\wmplayer.exe
- <SYSTEM32>\GroupPolicy\gpt.ini
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\server[1].txt
- %TEMP%\~DFA567tmp
- <SYSTEM32>\GroupPolicy\system.reg
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\server[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\server[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\server[1].txt
- %TEMP%\aut2.tmp
- %TEMP%\bdcekcp
- %TEMP%\aut1.tmp
- <SYSTEM32>\interant.exe
- %TEMP%\aut4.tmp
- %TEMP%\aut3.tmp
Сетевая активность:
Подключается к:
- 'www.so##u.com':80
- 'ip.##ai310.com':80
- 'www.yo##ao.com':80
- 'pi#.#izuya.com':80
- 'pi#.#ainv.net':80
- 'co####.woai310.com':80
- 'up####.woai310.com':80
- 'localhost':1037
- 'up.##ngzhua.net':80
- 'k.###uya.com':80
- 'up####.guokui.net':80
TCP:
Запросы HTTP GET:
- www.so##u.com/web?qu###################################################################################################
- ip.##ai310.com/
- www.yo##ao.com/search?q=##############################################
- pi#.#izuya.com/
- pi#.#ainv.net/
- up####.woai310.com/count/list.ini
- up.##ngzhua.net/count/server.txt
- up####.woai310.com/count/server.txt
- up####.guokui.net/count/server.txt
- co####.woai310.com/wmplayer.ini
- k.###uya.com/count/server.txt
UDP:
- DNS ASK www.so##u.com
- DNS ASK ip.##ai310.com
- DNS ASK www.yo##ao.com
- DNS ASK pi#.#izuya.com
- DNS ASK pi#.#ainv.net
- DNS ASK up.##ngzhua.net
- DNS ASK up####.woai310.com
- DNS ASK up####.guokui.net
- DNS ASK co####.woai310.com
- DNS ASK k.###uya.com
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
