Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\SA.DAT
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\WMISYS] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\system\wmisys.exe
Запускает на исполнение:
- <SYSTEM32>\svchost.exe -k netsvcs
- <SYSTEM32>\ipconfig.exe /flushdns
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'pediy06' WindowName: ''
- ClassName: 'GBDYLLO' WindowName: ''
- ClassName: 'OLLYDBG' WindowName: ''
обнаружения различных программ и игр:
- ClassName: 'MSNHiddenWindowClass' WindowName: ''
Скрывает следующие процессы:
- %WINDIR%\system\wmisys.exe
Изменения в файловой системе:
Создает следующие файлы:
- <DRIVERS>\sysdrv32.sys
- %WINDIR%\system\wmisys.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\system\wmisys.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'si#.####eaeexchange.info':8083
- 'co##.##tiesofchina.info':8085
- 'de#####.#ewskoreaimports.info':8084
- '<IP-адрес в локальной сети>':445
- '<IP-адрес в локальной сети>':139
UDP:
- DNS ASK si#.####eaeexchange.info
- DNS ASK co##.##tiesofchina.info
- DNS ASK de#####.#ewskoreaimports.info
- '<IP-адрес в локальной сети>':1294
Другое:
Ищет следующие окна:
- ClassName: 'AIM_CSignOnWnd' WindowName: ''
