Техническая информация
Для обеспечения автозапуска и распространения:
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\shutdown.exe файлом <SYSTEM32>\dllcache\shutdown.exe.new
- <SYSTEM32>\shutdown.exe файлом <SYSTEM32>\shutdown.exe.new
Заражает следующие исполняемые файлы:
- <SYSTEM32>\dllcache\shutdown.exe.new
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\empty.exe' 2824
Запускает на исполнение:
- '<SYSTEM32>\format.com' w: /q /u /x /y
- '<SYSTEM32>\format.com' v: /q /u /x /y
- '<SYSTEM32>\format.com' y: /q /u /x /y
- '<SYSTEM32>\format.com' x: /q /u /x /y
- '<SYSTEM32>\format.com' s: /q /u /x /y
- '<SYSTEM32>\format.com' r: /q /u /x /y
- '<SYSTEM32>\format.com' u: /q /u /x /y
- '<SYSTEM32>\format.com' t: /q /u /x /y
- '<SYSTEM32>\format.com' z: /q /u /x /y
- '<SYSTEM32>\net1.exe' user guest fengzi
- '<SYSTEM32>\net1.exe' user %USERNAME% fengzi
- '<SYSTEM32>\net1.exe' user %USERNAME%
- '<SYSTEM32>\shutdown.exe' -r -t 600 -c "║▄║├┐┤░╔гм─у├╟╨ж┴╦├╗"
- '<SYSTEM32>\attrib.exe' +s +h "Program Files"
- '<SYSTEM32>\attrib.exe' +s +h "windows"
- '<SYSTEM32>\attrib.exe' +S +h
- '<SYSTEM32>\attrib.exe' +s +h "Documents and Settings"
- '<SYSTEM32>\format.com' f: /q /u /x /y
- '<SYSTEM32>\format.com' e: /q /u /x /y
- '<SYSTEM32>\format.com' h: /q /u /x /y
- '<SYSTEM32>\format.com' g: /q /u /x /y
- '<SYSTEM32>\mshta.exe' vbscript:createobject("wscript.shell").run("""%WINDIR%\Т»јьЗеАнА¬»ш.bat"" wkdxz",vbhide)(window.close)
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\Т»јьЗеАнА¬»ш.bat
- '<SYSTEM32>\format.com' d: /q /u /x /y
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\Т»јьЗеАнА¬»ш.bat" wkdxz"
- '<SYSTEM32>\format.com' i: /q /u /x /y
- '<SYSTEM32>\format.com' o: /q /u /x /y
- '<SYSTEM32>\format.com' n: /q /u /x /y
- '<SYSTEM32>\format.com' q: /q /u /x /y
- '<SYSTEM32>\format.com' p: /q /u /x /y
- '<SYSTEM32>\format.com' k: /q /u /x /y
- '<SYSTEM32>\format.com' j: /q /u /x /y
- '<SYSTEM32>\format.com' m: /q /u /x /y
- '<SYSTEM32>\format.com' l: /q /u /x /y
Изменения в файловой системе:
Создает следующие файлы:
- <Служебный элемент>
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\index1[1].html
- %WINDIR%\Т»јьЗеАнА¬»ш.bat
- %WINDIR%\empty.exe
Удаляет следующие файлы:
- <SYSTEM32>\shutdown.exe
Перемещает следующие файлы:
- <SYSTEM32>\dllcache\shutdown.exe.new в <SYSTEM32>\dllcache\shutdown.exe
Сетевая активность:
Подключается к:
- '61##.com':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- 61##.com/list/index1.html
UDP:
- DNS ASK 61##.com
Другое:
Ищет следующие окна:
- ClassName: 'SysHeader32' WindowName: '(null)'
- ClassName: 'ToolbarWindow32' WindowName: '(null)'
- ClassName: 'SysDateTimePick32' WindowName: '(null)'
- ClassName: 'msctls_updown32' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'SysIPAddress32' WindowName: '(null)'
- ClassName: 'ComboBox' WindowName: '(null)'
- ClassName: 'msctls_trackbar32' WindowName: '(null)'
- ClassName: 'BUTTON' WindowName: '(null)'
- ClassName: 'Edit' WindowName: '(null)'
- ClassName: 'SysListView32' WindowName: '(null)'
- ClassName: 'SysTreeView32' WindowName: '(null)'
- ClassName: 'msctls_progress32' WindowName: '(null)'
- ClassName: 'ListBox' WindowName: '(null)'
