Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'systiem' = '<SYSTEM32>\sisteiems.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{77DA65E3-6AA6-F0E2-A672-CB88231675F4}] 'stubpath' = ''
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'userinit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\sdra64.exe,'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{A8F3A0FC-DBAB-A0CB-330C-5D3F1511052B}] 'StubPath' = '<SYSTEM32>\sisteiems.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '"%TEMP%\tempalbert\runy32.exe"' = '"%TEMP%\tempalbert\runy32.exe:*:Enabled:Enabled"'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Trillian]
- [<HKLM>\SOFTWARE\Miranda]
- [<HKCU>\SOFTWARE\Mirabilis\ICQ\NewOwners]
Ищет следующие окна с целью
обхода различных антивирусов:
- ClassName: 'AVP.AhLearnDialog' WindowName: ''
- ClassName: 'AVP.Product_Notification' WindowName: ''
- ClassName: 'AVP.AlertDialog' WindowName: ''
- ClassName: 'AVP.AhAppChangedDialog' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tempalbert\Systems.exe
- %TEMP%\tempalbert\runy32.exe
- %TEMP%\tempalbert\runs32.exe
- %PROGRAM_FILES%\win\sysietms.exe
- <SYSTEM32>\sisteiems.exe
- <SYSTEM32>\sdra64.exe
- %TEMP%\tempalbert\32sys.exe
- %TEMP%\32sys.exe
- %TEMP%\000290D6
- %TEMP%\0001D03B
- %TEMP%\Systems.exe
- %TEMP%\runy32.exe
- %TEMP%\runs32.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\sdra64.exe
Удаляет следующие файлы:
- %TEMP%\runs32.exe
- %TEMP%\runy32.exe
- %TEMP%\Systems.exe
- %TEMP%\0001D03B
- %TEMP%\000290D6
- %TEMP%\32sys.exe
Сетевая активность:
Подключается к:
- 'hp##.hopto.org':3460
UDP:
- DNS ASK hp##.hopto.org
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'Warning: Components Have Changed'
- ClassName: '' WindowName: '????????: ????????? ?????????? ??????????'
- ClassName: '' WindowName: 'Hidden Process Requests Network Access'
- ClassName: '' WindowName: '??????? ??????? ??????????? ??????? ??????'
- ClassName: '' WindowName: 'Create rule for RUNY32.EXE'
- ClassName: '' WindowName: 'Kaspersky Anti-Hacker - ??????? ??????? ??? runy32.exe'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: '??????? ??????? ??? RUNY32.EXE'
- ClassName: '' WindowName: 'Kaspersky Anti-Hacker - Create a rule for runy32.exe'
