Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'teste2' = '%WINDIR%\teste2\teste2'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{RK674LKR-52TR-3YH8-0EXN-N4P5CN807WXH}] 'StubPath' = '%WINDIR%\teste2\teste2 Restart'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "C:\Documents and Settings\%USERNAME%\Local Settings\Temp\I...
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'teste2' = '%WINDIR%\teste2\teste2'
Создает или изменяет следующие файлы:
- C:\Documents and Settings\%USERNAME%\Start Menu\Programs\Startupx\system.pif
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\Documents and Settings\%USERNAME%\Local Settings\Temp\IXP000.TMP\M.exe' and Settings\%USERNAME%\Local Settings\Temp\IXP000.TMP\M.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\teste2\teste2
- C:\Documents and Settings\%USERNAME%\Local Settings\Application Data\CSIDL_X
- C:\Documents and Settings\%USERNAME%\Local Settings\Application Data\CSIDL_
- C:\Documents and Settings\%USERNAME%\Local Settings\Temp\XX--XX--XX.txt
- C:\Documents and Settings\%USERNAME%\Local Settings\Temp\UuU.uUu
- C:\Documents and Settings\%USERNAME%\Local Settings\Temp\XxX.xXx
- C:\Documents and Settings\%USERNAME%\Application Data\logs.dat
- C:\Documents and Settings\%USERNAME%\Application Data\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- C:\Documents and Settings\%USERNAME%\Application Data\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\76ab5f46-324e-4879-98a0-febf0bf809bb
- C:\Documents and Settings\%USERNAME%\Application Data\Microsoft\Protect\CREDHIST
- C:\Documents and Settings\%USERNAME%\Application Data\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\405e1a235f4d3730178facbfcb9cf8ca_23ef5514-3059-436f-a4a7-4cefaab20eb1
- C:\Documents and Settings\%USERNAME%\Local Settings\Temp\IXP000.TMP\M.ex_
- C:\Documents and Settings\%USERNAME%\Local Settings\Temp\IXP000.TMP\M.exe
- C:\Documents and Settings\%USERNAME%\Application Data\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\c0528c2346cb928a9052304ef3ab8fd4_23ef5514-3059-436f-a4a7-4cefaab20eb1
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Documents and Settings\%USERNAME%\Application Data\logs.dat
- C:\Documents and Settings\%USERNAME%\Local Settings\Application Data\CSIDL_X
- C:\Documents and Settings\%USERNAME%\Local Settings\Application Data\CSIDL_
Удаляет следующие файлы:
- C:\Documents and Settings\%USERNAME%\Local Settings\Temp\IXP000.TMP\M.ex_
- C:\Documents and Settings\%USERNAME%\Local Settings\Temp\IXP000.TMP\M.exe
- C:\Documents and Settings\%USERNAME%\Local Settings\Temp\XxX.xXx
- C:\Documents and Settings\%USERNAME%\Local Settings\Temp\XX--XX--XX.txt
- C:\Documents and Settings\%USERNAME%\Local Settings\Temp\UuU.uUu
Сетевая активность:
Подключается к:
- 'ca#####um1.no-ip.org':2285
UDP:
- DNS ASK ca#####um1.no-ip.org
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
