Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'NeroLinux' = '"%ProgramFiles%\Borland International\nerou.exe" -op'
Вредоносные функции:
Создает и запускает на исполнение:
- '%ProgramFiles%\Borland International\mssvc.exe' -op
- '%ProgramFiles%\Borland International\nerou.exe' -op
Изменения в файловой системе:
Создает следующие файлы:
- %ProgramFiles%\Borland International\nerou.exe
- %ProgramFiles%\Borland International\neroaf.dll
- %ProgramFiles%\Borland International\nerobf.dll
- %ProgramFiles%\Borland International\setfile.zip
- %ProgramFiles%\Borland International\mssvc.exe
Удаляет следующие файлы:
- %ProgramFiles%\Borland International\setfile.zip
Сетевая активность:
Подключается к:
- 'pa#####7272.pnsweb.net':80
TCP:
Запросы HTTP GET:
- http://pa#####7272.pnsweb.net/ls_resettime.asp
- http://pa#####7272.pnsweb.net/ls_cur_run.asp?ma##########################
- http://pa#####7272.pnsweb.net/ls_init.asp
- http://pa#####7272.pnsweb.net/ls_install.asp?ma#########################
- http://pa#####7272.pnsweb.net/update/neroaf.dll
UDP:
- DNS ASK pa#####7272.pnsweb.net
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
