Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\UniversalHost] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\ckz_KPZ4\svchost.exe
- %TEMP%\ckz_GMQN\winit.exe
Запускает на исполнение:
- <SYSTEM32>\net1.exe start
- <SYSTEM32>\ipconfig.exe /all
- <SYSTEM32>\systeminfo.exe
- <SYSTEM32>\tasklist.exe
- <SYSTEM32>\route.exe print
- <SYSTEM32>\cmd.exe /c RunDll.bat
- <SYSTEM32>\cmd.exe /c ""%TEMP%\ckz_GMQN\wqa.bat" "
- <SYSTEM32>\wscript.exe "%TEMP%\ckz_GMQN\afp.vbs"
- <SYSTEM32>\rundll32.exe <SYSTEM32>\shell32.dll,OpenAs_RunDLL %TEMP%\ckz_GMQN\MAPS.PPT
- <SYSTEM32>\net1.exe start UniversalHost
- <SYSTEM32>\attrib.exe c:\recycler +s +h
Изменения в файловой системе:
Создает следующие файлы:
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\SLO9SJK5\Ќey)ЌY[1]
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0J2LM5OP\up[1].htm
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\YVA9AZ0Z\Ќ™Y[1]
- %TEMP%\ckz_KPZ4\Ќ™Y
- %TEMP%\ckz_KPZ4\Ќey)ЌY
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\IVQDA70J\Ќ[1]
- %TEMP%\ckz_KPZ4\Ќ
- %TEMP%\ckz_KPZ4\ЌRich™Y
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\IVQDA70J\up[1].htm
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0J2LM5OP\ЌRich™Y[1]
- %TEMP%\ckz_GMQN\afp.vbs
- %TEMP%\ckz_KPZ4\svchost.exe
- %TEMP%\ckz_GMQN\wqa.bat
- %TEMP%\ckz_GMQN\MAPS.PPT
- %TEMP%\ckz_GMQN\winit.exe
- <SYSTEM32>\RunDll.bat
- %TEMP%\ckz_KPZ4\MZђ
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\SLO9SJK5\up[1].htm
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\IVQDA70J\MZђ[1]
- <SYSTEM32>\Sysinfo.txt
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0J2LM5OP\in[1].php
Удаляет следующие файлы:
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\IVQDA70J\up[1].htm
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0J2LM5OP\up[1].htm
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\SLO9SJK5\up[1].htm
Сетевая активность:
Подключается к:
- 'pi###palace.org':80
- '74.##5.232.51':80
TCP:
Запросы HTTP GET:
- pi###palace.org/Loot/Boot/?ey####
- pi###palace.org/Loot/Boot/?Ri####
- pi###palace.org/Loot/Boot/?
- pi###palace.org/Loot/in.php?sy#######################
- pi###palace.org/Loot/Boot/MZ?
- pi###palace.org/Loot/Boot/??Y
Запросы HTTP POST:
- pi###palace.org/Loot/up.php
UDP:
- DNS ASK pi###palace.org
- DNS ASK google.com
- '<IP-адрес в локальной сети>':1033
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
