Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Update.exe' = '"%APPDATA%\Secure-Soft Stealer\Update.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\169953] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\IXP000.TMP\NOTIFI~2.EXE' = '%TEMP%\IXP000.TMP\NOTIFI~2.EXE:*:Enabled:KL'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\Debug\cosp86.exe' = '%WINDIR%\Debug\cosp86.exe:*:Enabled:KL'
Создает и запускает на исполнение:
- '%TEMP%\IXP000.TMP\NOTIFI~1.EXE'
- '%APPDATA%\Secure-Soft Stealer\Update.exe'
- '%WINDIR%\Debug\cosp86.exe'
- '%TEMP%\IXP000.TMP\NOTIFI~2.EXE'
- '%WINDIR%\Debug\cosp86.exe' /start
Запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "%TEMP%\Autorun.vbs"
- '<SYSTEM32>\sc.exe' delete 169953
Завершает или пытается завершить
следующие пользовательские процессы:
- ICQ.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKLM>\SOFTWARE\Miranda]
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Trillian]
- [<HKCU>\Software\FTPWare\COREFTP\Sites]
- [<HKLM>\SOFTWARE\FlashFXP\3]
- [<HKCU>\SOFTWARE\FlashFXP\3]
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Debug\result.dark
- %APPDATA%\Secure-Soft Stealer\Update.exe
- %TEMP%\Autorun.vbs
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\gam3r.allalla[1]
- %TEMP%\IXP000.TMP\NOTIFI~2.EXE
- %WINDIR%\Debug\bc
- %WINDIR%\Debug\cosp86.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Debug\result.dark
- %WINDIR%\Debug\cosp86.exe
Удаляет следующие файлы:
- %TEMP%\IXP000.TMP\NOTIFI~1.EXE
- %TEMP%\IXP000.TMP\NOTIFI~2.EXE
- %WINDIR%\Debug\bc
Сетевая активность:
Подключается к:
- 'pa#####asis.vacau.com':80
- 'www.ga###.allalla.com':80
TCP:
Запросы HTTP GET:
- www.ga###.allalla.com/?ui##################
Запросы HTTP POST:
- pa#####asis.vacau.com/downloads/creater.php
- www.ga###.allalla.com/upload.php
UDP:
- DNS ASK pa#####asis.vacau.com
- DNS ASK www.ga###.allalla.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
