Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '%WINDIR%\sun\java\old\services.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WinSrv' = '%WINDIR%\sun\java\old\hiderun.exe Services.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'LoadPowerProfiles' = 'System32\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\run.bat'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Service' = '<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Hiderun.exe <SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Services.exe'
- [<HKLM>\SOFTWARE\Classes\ChatFile\Shell\open\command] '' = '"%WINDIR%\sun\java\old\services.exe"'
- [<HKLM>\SOFTWARE\Classes\irc\Shell\open\command] '' = '"%WINDIR%\sun\java\old\services.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\Sun\java\Old\Services.exe'
- '%WINDIR%\Sun\java\Old\hex.exe' /hide mIRC*
- '%WINDIR%\Sun\java\Old\microsoft.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run\Service="<SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Hiderun.exe <SYSTEM32>\SoftwareDistribution\Setup\ServiceStartup\wups.dll\Winupdate\Microsoft\Services.exe"
- '%WINDIR%\Sun\java\Old\Hiderun.exe' services.exe
Запускает на исполнение:
- '%WINDIR%\regedit.exe' /s vnc_server.reg
- '%WINDIR%\msagent\agentsvr.exe' -Embedding
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\Sun\java\Old\install.bat" "
- '%WINDIR%\regedit.exe' /s boot.reg
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Sun\java\Old\servicerun.dll
- %WINDIR%\Sun\java\Old\stop.ini
- %WINDIR%\Sun\java\Old\servers.ini
- %WINDIR%\Sun\java\Old\mirc.ini
- %WINDIR%\Sun\java\Old\remote.ini
- %WINDIR%\Sun\java\Old\boot.reg
- %WINDIR%\Sun\java\Old\vnc_server.reg
- %WINDIR%\Sun\java\Old\winmx.ocx
- %WINDIR%\Sun\java\Old\system.ini
- %WINDIR%\Sun\java\Old\vnc.dll
- %WINDIR%\Sun\java\Old\flood.mrc
- %WINDIR%\Sun\java\Old\Process.exe
- %WINDIR%\Sun\java\Old\Services.exe
- %WINDIR%\Sun\java\Old\microsoft.exe
- %WINDIR%\Sun\java\Old\hex.exe
- %WINDIR%\Sun\java\Old\Hiderun.exe
- %WINDIR%\Sun\java\Old\script3.dll
- %WINDIR%\Sun\java\Old\aliases.ini
- %WINDIR%\Sun\java\Old\run.bat
- %WINDIR%\Sun\java\Old\VNC_bypauth.exe
- %WINDIR%\Sun\java\Old\install.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Sun\java\Old\Services.exe
- %WINDIR%\Sun\java\Old\microsoft.exe
Удаляет следующие файлы:
- %WINDIR%\Sun\java\Old\vnc_server.reg
- %WINDIR%\Sun\java\Old\boot.reg
- %WINDIR%\Sun\java\Old\TMP2.$$$
Перемещает следующие файлы:
- %WINDIR%\Sun\java\Old\remote.ini в %WINDIR%\Sun\java\Old\TMP2.$$$
Сетевая активность:
Подключается к:
- 'on###.sytes.net':6667
UDP:
- DNS ASK on###.sytes.net
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
