Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '%WINDIR%\explorer.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '334A6CAD286F4551C6E6D11857384CEB9F15908F607B4AA8BE7F28CE817E453A' = '"%APPDATA%\microsoft\internet explorer\report.exe"'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\explorer.exe' = '%WINDIR%\explorer.exe:*:Enabled:explorer'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmic.exe' path win32_terminalservicesetting where (__Class!="") call setallowtsconnections 1
- '%APPDATA%\Microsoft\Internet Explorer\report.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
- safari.exe
- opera.exe
- chrome.exe
- Drwebupw.exe
- AVP.EXE
- ekrn.exe
- ecmd.exe
Завершает или пытается завершить
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmp3.tmp
- <SYSTEM32>\wbem\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\3C83474D61E624A4F9844DF935AFE217
- %TEMP%\tmp2.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\d[1].htm
- <SYSTEM32>\wbem\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\3C83474D61E624A4F9844DF935AFE217
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\c[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\c[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\d[2].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\c[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\d[2].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\c[1].htm
- %APPDATA%\Help\a.dll
- %APPDATA%\Help\d.dll
- %APPDATA%\Help\n.dll
- %APPDATA%\Microsoft\Internet Explorer\report.exe
- %TEMP%\report.dll
- %TEMP%\worklog0
- %APPDATA%\Help\o.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\d[1].htm
- <DRIVERS>\atmapi.sys
- %TEMP%\tmp1.tmp
- %APPDATA%\Help\p.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\d[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\d[1].htm
Удаляет следующие файлы:
- %TEMP%\tmp3.tmp
- %TEMP%\tmp2.tmp
- %TEMP%\tmp1.tmp
Сетевая активность:
Подключается к:
- 'f0###cfc86.com':80
- '20#.#6.232.182':80
- 'ma####ales.co.uk':80
- 'to####max.com.au':80
TCP:
Запросы HTTP GET:
- http://crl.microsoft.com/pki/crl/products/WindowsPCA.crl via 20#.#6.232.182
Запросы HTTP POST:
- http://ma####ales.co.uk/com/c.php
- http://to####max.com.au/com/c.php
- http://f0###cfc86.com/c.php
- http://ma####ales.co.uk/com/d.php
- http://to####max.com.au/com/d.php
- http://f0###cfc86.com/d.php
UDP:
- DNS ASK f0###cfc86.com
- DNS ASK crl.microsoft.com
- DNS ASK ma####ales.co.uk
- DNS ASK to####max.com.au
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
