Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '96f8d30' = '"<LS_APPDATA>\hovi\hovi.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '96f8d30' = '"<LS_APPDATA>\hovi\hovi.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\WindowsXP-KB968930-x86-ENG.exe' /quiet /norestart
- '%TEMP%\WindowsXP-KB968930-x86-ENG.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\regsvr32.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1809' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1809' = '00000003'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\WindowsXP-KB968930-x86-ENG[1].exe
- %TEMP%\WindowsXP-KB968930-x86-ENG.exe
- <LS_APPDATA>\hovi\hovi.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\microsoft[1]
Самоудаляется.
Сетевая активность:
Подключается к:
- '12#.#60.60.148':80
- '82.##.205.146':80
- '3.###.249.133':80
- '43.#2.99.25':80
- '18#.#32.210.111':80
- '19#.#.17.132':80
- '14#.#14.152.225':80
- '15#.#11.54.138':80
- '21#.#7.225.33':80
- '35.##8.56.240':443
- '20#.#4.153.60':80
- '1.###.134.235':8080
- '22#.#32.150.153':80
- '23#.#4.173.250':80
- '13#.#28.157.57':80
- '10#.#5.253.69':443
- '25#.#.228.234':80
- '70.##.78.107':80
- '18#.#33.86.2':80
- '23#.#40.159.37':80
- '20#.#2.207.250':80
- '18#.#35.171.63':80
- '79.##6.209.103':80
- '19#.#8.182.78':80
- '20#.#6.232.182':80
- '10#.#40.52.171':80
- '15#.#27.253.140':8080
- '25#.#72.212.44':80
- '23#.#21.240.85':80
- '14.##1.225.109':80
- '93.#2.55.91':80
- '23#.#5.232.109':80
- '35.##5.217.68':80
- '22#.#38.139.236':80
- '10#.#2.71.227':80
TCP:
Запросы HTTP GET:
- http://do#####d.microsoft.com/download/E/C/E/ECE99583-2003-455D-B681-68DB610B44A4/WindowsXP-KB968930-x86-ENG.exe via 20#.#6.232.182
- http://microsoft.com/ via 20#.#6.232.182
UDP:
- DNS ASK do#####d.microsoft.com
- DNS ASK microsoft.com
