Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe,<SYSTEM32>\macker96.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\system\lass32.exe'
- '<SYSTEM32>\flshrtl.exe' 205471
- '<SYSTEM32>\macker96.exe'
- '%TEMP%\ff1.exe'
- '%TEMP%\ff2.exe'
- '%TEMP%\ff3.exe'
- '<SYSTEM32>\flshrtl.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
- '<SYSTEM32>\reg.exe' Add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel" /v "{871C5380-42A0-1069-A2EA-08002B30309D}" /t "REG_DWORD" /d "1" /f
- '<SYSTEM32>\reg.exe' Add "HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell" /t "REG_SZ" /d "explorer.exe,<SYSTEM32>\macker96.exe" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ED244919-19E8-4FCE-958C-77E31E205E7C}"
- '<SYSTEM32>\taskkill.exe' /f /im rstray.exe
- '<SYSTEM32>\taskkill.exe' /f /pid 3452
- '<SYSTEM32>\net.exe' stop sharedaccess
- '<SYSTEM32>\net1.exe' stop sharedaccess
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\system\905.285.bat
- '<SYSTEM32>\ping.exe' 127.1
- '<SYSTEM32>\wscript.exe' "%TEMP%\ff.vbs"
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\65.86855.bat
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\gawbsz.bat
- '<SYSTEM32>\attrib.exe' +s +h "<SYSTEM32>\macker96.exe"
- '<SYSTEM32>\ping.exe' -a 127.1
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\mobpfqp.bat
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\gawbsz.bat
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk
- <SYSTEM32>\macker96.exe
- %WINDIR%\system\lass32.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cpmlist2[1].txt
- %WINDIR%\system\cpmlist2.txt
- %HOMEPATH%\Start Menu\Programs\Internet Explorer.lnk
- %HOMEPATH%\Desktop\Internet Explorer.lnk
- <SYSTEM32>\mobpfqp.bat
- %TEMP%\ff3.exe
- %TEMP%\ff2.exe
- %TEMP%\ff.vbs
- %TEMP%\ff1.exe
- %WINDIR%\system\905.285.bat
- <SYSTEM32>\flshrtl.exe
- <SYSTEM32>\macker96.dll
- <SYSTEM32>\65.86855.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\macker96.exe
Удаляет следующие файлы:
- %TEMP%\ff3.exe
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk
- %TEMP%\ff1.exe
- %TEMP%\ff2.exe
Сетевая активность:
Подключается к:
- 'localhost':1041
- 'localhost':1042
- 'do####adpoint.cn':80
- 'www.xz###vc.net.cn':80
- 'localhost':1038
TCP:
Запросы HTTP GET:
- do####adpoint.cn/cpmlist2.txt
- www.xz###vc.net.cn/nba/image.jpg
UDP:
- DNS ASK do####adpoint.cn
- DNS ASK www.xz###vc.net.cn
Другое:
Ищет следующие окна:
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: 'SHELLDLL_DefView' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Progman' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
