Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ind' = '%WINDIR%\Peterporn_scandal_seks_video.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe "%WINDIR%\Peterporn_scandal_seks_video.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'vveyrwbr' = '<Полный путь к вирусу>'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Explorer.exe "<Полный путь к вирусу>"'
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\tskmgr.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует запуск следующих системных утилит:
- Редактора реестра (RegEdit)
Создает и запускает на исполнение:
- %WINDIR%\Peterporn_scandal_seks_video.exe SYSTEM
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c db.bat
- <SYSTEM32>\schtasks.exe /create /tn "backup" /tr "%WINDIR%\Peterporn_scandal_seks_video.exe" /sc daily /st 08:00
- <SYSTEM32>\schtasks.exe /create /tn "backup2" /tr "%WINDIR%\Peterporn_scandal_seks_video.exe" /sc daily /st 18:00
- <SYSTEM32>\ntvdm.exe -f -i1
- <SYSTEM32>\cscript.exe %WINDIR%\m.vbs
- <SYSTEM32>\attrib.exe +h +r m.vbs
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\autorun.inf
- %WINDIR%\db.bat
- C:\file.dat
- <Текущая директория>\db.bat
- C:\Peterporn_Scandal_sex_Video.mpg'.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\serverisdown[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\wpad[2].dat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\wpad[1].dat
- C:\autorun.inf
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\email[1].php
- <Текущая директория>\Peterporn_scandal_seks_video.exe
- <Текущая директория>\sh.php
- %WINDIR%\schost.exe
- <Текущая директория>\autorun.inf
- %WINDIR%\bak
- <Текущая директория>\bak
- %WINDIR%\m.vbs
- %WINDIR%\sh.php
- %WINDIR%\Temp\scs2.tmp
- %WINDIR%\Peterporn_scandal_seks_video.exe
- %WINDIR%\Temp\scs1.tmp
Удаляет следующие файлы:
- %WINDIR%\autorun.inf
- C:\autorun.inf
- %WINDIR%\db.bat
- <Текущая директория>\db.bat
- %WINDIR%\Temp\scs1.tmp
- %WINDIR%\Temp\scs2.tmp
- <Текущая директория>\autorun.inf
Сетевая активность:
Подключается к:
- 'localhost':1045
- 'www.se####isdown.org':80
- 'wpad.localdomain':80
- 'localhost':1040
- 'www.ip###nation.org':80
TCP:
Запросы HTTP GET:
- www.se####isdown.org/
- wpad.localdomain/wpad.dat
- www.ip###nation.org/includes/email.php?em############################################################################################################
UDP:
- DNS ASK www.ip###nation.org
- DNS ASK pl##a.com
- DNS ASK www.se####isdown.org
- DNS ASK wpad.localdomain
- DNS ASK ya##o.com
- DNS ASK google.com
- DNS ASK bing.com
- DNS ASK al##a.com
Другое:
Ищет следующие окна:
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-b0c.b10.390001'
