Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\nProtect Network Packet Monitoring] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Security Web] 'Start' = '00000002'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\msvcr71.dll файлом <SYSTEM32>\msvcr71.dll
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\tkmsvc.des'
- '<SYSTEM32>\NetAgent.nat'
Запускает на исполнение:
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\cmd.exe' /c ""C:\thumnail.bat" "
- '<SYSTEM32>\netsh.exe' firewall add portopening TCP 80 NATEONPatcher
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="NATEONPatcher" dir=in action=allow protocol=tcp localport=80
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\tkmsvc.des
- C:\thumnail.bat
- <SYSTEM32>\NetAgent.nat
- %WINDIR%\npmsvc.dss
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\tkmsvc.des
- C:\thumnail.bat
- <SYSTEM32>\NetAgent.nat
- %WINDIR%\npmsvc.dss
Удаляет следующие файлы:
- <SYSTEM32>\msvcr71.dll
Самоудаляется.
Сетевая активность:
UDP:
- DNS ASK si#####ye369.comeze.com
- DNS ASK si####eye369.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
