Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] ' rdfnpgyq' = '"<LS_APPDATA>\botixy\botixy.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] ' rdfnpgyq' = '"<LS_APPDATA>\botixy\botixy.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\WindowsXP-KB968930-x86-ENG.exe' /quiet /norestart
- '%TEMP%\WindowsXP-KB968930-x86-ENG.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\regsvr32.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1809' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1809' = '00000003'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\cCV4qj3o.Ev
- %TEMP%\nsd2.tmp\System.dll
- %TEMP%\results.htm1543301394.html
- %TEMP%\oYhXrt7a.rc
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\WindowsXP-KB968930-x86-ENG[1].exe
- %TEMP%\WindowsXP-KB968930-x86-ENG.exe
- <LS_APPDATA>\botixy\botixy.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\microsoft[1]
- %TEMP%\talking_tom_cat_21871288566.html
- %TEMP%\geography.htm
- %TEMP%\lt.js
- %TEMP%\8201.html
- %TEMP%\faq-admin.html
- %TEMP%\teachers
- %TEMP%\feed
- %TEMP%\eArIBsLvMJ
Самоудаляется.
Сетевая активность:
Подключается к:
- '24#.#45.14.76':8080
- '14#.#67.206.51':80
- '16#.#0.182.24':80
- '14#.#8.231.33':80
- '11#.#2.98.119':80
- '12#.#1.162.84':80
- '33.##.171.159':80
- '11#.#1.135.107':8080
- '13#.#41.23.78':80
- '23#.#8.254.241':80
- '24#.#9.222.222':80
- '68.##.189.50':80
- '15#.#01.103.118':80
- '18#.#01.247.93':443
- '16#.#65.133.172':80
- '68.##.162.235':80
- '10#.#10.46.168':443
- '99.##.67.243':80
- '21#.#6.124.190':80
- '14#.#49.37.116':80
- '57.##8.240.40':80
- '19#.#3.32.122':80
- '12#.#48.227.68':80
- '20#.#6.232.182':80
- '20#.#1.83.31':80
- '19#.#.20.188':80
- '22#.#4.178.210':80
- '12#.#8.151.151':80
- '13#.#29.51.138':8080
- '19#.#20.176.112':80
- '10#.#9.225.170':80
- '52.##.23.239':80
- '18.##4.110.110':80
- '66.##5.77.47':8080
- '16.##9.203.91':8080
TCP:
Запросы HTTP GET:
- http://do#####d.microsoft.com/download/E/C/E/ECE99583-2003-455D-B681-68DB610B44A4/WindowsXP-KB968930-x86-ENG.exe via 20#.#6.232.182
- http://microsoft.com/ via 20#.#6.232.182
UDP:
- DNS ASK do#####d.microsoft.com
- DNS ASK microsoft.com
