Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'AutoDefendMain' = '"%PROGRAM_FILES%\AutoDefend\AutoDefend.exe" /Boot'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c \DelUS.bat
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\AutoDefend\etc\adMon.exe
- %PROGRAM_FILES%\AutoDefend\etc\ADmonRemote.dll
- %PROGRAM_FILES%\AutoDefend\etc\adReg.exe
- %PROGRAM_FILES%\AutoDefend\skin\default.avs
- %PROGRAM_FILES%\AutoDefend\Lang\kr.xml
- %PROGRAM_FILES%\AutoDefend\db\inter.dll
- %PROGRAM_FILES%\AutoDefend\db\filter.dll
- %PROGRAM_FILES%\AutoDefend\db\pwdb.dat
- %PROGRAM_FILES%\AutoDefend\etc\ADFilterDriver.SYS
- %PROGRAM_FILES%\AutoDefend\db\vsdb.dat
- %PROGRAM_FILES%\AutoDefend\partner.ini
- %TEMP%\nsy2.tmp\DLLWebCount120207.dll
- %TEMP%\nsy2.tmp\IEFunctions.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\inst_nor[1].php
- C:\DelUS.bat
- %TEMP%\nsy2.tmp\SelfDelete.dll
- %HOMEPATH%\Start Menu\Programs\їАЕдµрЖжµе\їАЕдµрЖжµе.lnk
- %PROGRAM_FILES%\AutoDefend\Uninstall.exe
- %HOMEPATH%\Start Menu\Programs\їАЕдµрЖжµе\їАЕдµрЖжµе Б¦°Е.lnk
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\їАЕдµрЖжµе.lnk
- %HOMEPATH%\Start Menu\їАЕдµрЖжµе.lnk
- %PROGRAM_FILES%\AutoDefend\db\avmon.dat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\autodefend_instchk_self[1].php
- %TEMP%\nsy2.tmp\Ischeck120207.dll
- %TEMP%\temppage.ini
- %TEMP%\nsy2.tmp\KillProcDLL.dll
- %TEMP%\nsy2.tmp\AutoDefendMsg.dll
- %TEMP%\nsy2.tmp\ChkClient120207.dll
- %TEMP%\nsy2.tmp\stack.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\pcroomchk[1].php
- %TEMP%\nsy2.tmp\IsVista120207.dll
- %TEMP%\tempfile.ini
- %TEMP%\nsy2.tmp\DLLWaitForKillProgram.dll
- %PROGRAM_FILES%\AutoDefend\conf.ini
- %PROGRAM_FILES%\AutoDefend\SoADUpdateServer.dat
- %PROGRAM_FILES%\AutoDefend\db\addb.dat
- %PROGRAM_FILES%\AutoDefend\db\adtc.dat
- %PROGRAM_FILES%\AutoDefend\db\adsub.dat
- %PROGRAM_FILES%\AutoDefend\ADEng.dll
- %PROGRAM_FILES%\AutoDefend\ADAutoUpdate.exe
- %PROGRAM_FILES%\AutoDefend\ADUpdateServer.dat
- %PROGRAM_FILES%\AutoDefend\Ep.dat
- %PROGRAM_FILES%\AutoDefend\AutoDefend.exe
Удаляет следующие файлы:
- %TEMP%\nsy2.tmp\IsVista120207.dll
- %TEMP%\nsy2.tmp\Ischeck120207.dll
- %TEMP%\nsy2.tmp\IEFunctions.dll
- %TEMP%\nsy2.tmp\stack.dll
- %TEMP%\nsy2.tmp\SelfDelete.dll
- %TEMP%\nsy2.tmp\KillProcDLL.dll
- %TEMP%\nsy2.tmp\DLLWebCount120207.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\inst_nor[1].php
- %TEMP%\temppage.ini
- %TEMP%\tempfile.ini
- %TEMP%\nsy2.tmp\DLLWaitForKillProgram.dll
- %TEMP%\nsy2.tmp\ChkClient120207.dll
- %TEMP%\nsy2.tmp\AutoDefendMsg.dll
Самоудаляется.
Сетевая активность:
Подключается к:
- 'www.au####fend.co.kr':80
- 'lo#.##sence.co.kr':80
- 'localhost':1037
- 'up####.autodefend.co.kr':80
TCP:
Запросы HTTP GET:
- www.au####fend.co.kr/app/inst_nor.php?pi#########
- lo#.##sence.co.kr/logexp.php?ai##################################
- up####.autodefend.co.kr/installchk/pcroomchk.php
- up####.autodefend.co.kr/installchk/autodefend_instchk_self.php
UDP:
- DNS ASK lo#.##sence.co.kr
- DNS ASK www.au####fend.co.kr
- DNS ASK up####.autodefend.co.kr
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'adMon'
- ClassName: '' WindowName: '(null)'
