Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'ErrorReporting' = '%CommonProgramFiles%\microsoft shared\dw\1031\reportingerror.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'RoyaleReachFramework' = '%PROGRAM_FILES%\reference assemblies\microsoft\framework\v3.0\selectorswindowsformsintegration.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ApplicationReporting' = '%CommonProgramFiles%\microsoft shared\dw\1036\dwintl20reporting.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftReporting' = '%CommonProgramFiles%\microsoft shared\dw\1033\errormicrosoft.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] '<Имя вируса>' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '<Имя вируса>' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'WiSC10WiSC10' = '%CommonProgramFiles%\mssoap\binaries\wisc10wisc101.02.814.0.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices] 'WindowsTMMicrosoft5.1.4111.00.0108171148' = '%CommonProgramFiles%\microsoft shared\speech\1033\microsoftsystem.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Reference Assemblies\Microsoft\Framework\v3.0\SelectorsWindowsFormsIntegration.exe'
- '%CommonProgramFiles%\Microsoft Shared\DW\1036\DWIntl20Reporting.exe'
- '%CommonProgramFiles%\Microsoft Shared\Speech\1033\MicrosoftSystem.exe'
- '%CommonProgramFiles%\Microsoft Shared\DW\1031\ReportingError.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\qas2.tmp
- %CommonProgramFiles%\Microsoft Shared\DW\1031\ReportingError.exe
- %TEMP%\qas3.tmp
- %TEMP%\qas5.tmp
- %TEMP%\qas4.tmp
- %CommonProgramFiles%\Microsoft Shared\DW\1036\DWIntl20Reporting.exe
- %CommonProgramFiles%\Microsoft Shared\Speech\1033\MicrosoftSystem.exe
- %TEMP%\qas1.tmp
- %CommonProgramFiles%\MSSoap\Binaries\WiSC10WiSC101.02.814.0.exe
- %CommonProgramFiles%\Microsoft Shared\DW\1033\ErrorMicrosoft.exe
- %PROGRAM_FILES%\Reference Assemblies\Microsoft\Framework\v3.0\SelectorsWindowsFormsIntegration.exe
Удаляет следующие файлы:
- %TEMP%\qas3.tmp
- %TEMP%\qas4.tmp
- %TEMP%\qas5.tmp
- %TEMP%\qas1.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\v=42&step=2&hostid=5F5C1BC2B801AC7FFB1A22FB75A3789B[1]
- %TEMP%\qas2.tmp
Сетевая активность:
Подключается к:
- 'ht###high.in':80
- 'localhost':1039
TCP:
Запросы HTTP GET:
- ht###high.in/httpss/v=42&step=2&hostid=5F5C1BC2B801AC7FFB1A22FB75A3789B
UDP:
- DNS ASK www.co#
- DNS ASK 14######77.httpdsconfig.com
- DNS ASK 14######69.httpdsconfig.com
- DNS ASK 14######76.httpdsconfig.com
- DNS ASK 14######92.httpdsconfig.com
- DNS ASK www.ya##o.com
- DNS ASK 14######84.httpdsconfig.com
- DNS ASK 14######88.httpdsconfig.com
- DNS ASK 14######66.httpdsconfig.com
- DNS ASK ht###high.in
- DNS ASK windowsupdate.microsoft.com
- DNS ASK 14######21.httpdsconfig.com
- DNS ASK 14######24.httpdsconfig.com
- DNS ASK google.com
- DNS ASK 14######61.httpdsconfig.com
- DNS ASK up####.microsoft.com
- DNS ASK 14######51.httpdsconfig.com
