Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'odby' = '%WINDIR%\odb.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '11505624' = '%ALLUSERSPROFILE%\Application Data\11505624\11505624.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '%WINDIR%\lsass.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'userinit' = '<SYSTEM32>\userinit.exe,<SYSTEM32>\sdra64.exe,'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'netc' = '%WINDIR%\svc.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\4_pinnew.exe' = '%TEMP%\4_pinnew.exe:*:Enabled:Enabled'
Запускает на исполнение:
- '<SYSTEM32>\amstreaml.exe'
- '%TEMP%\1_dropper_other.exe'
- '%TEMP%\2_load.exe'
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\00196187.cmd" "
- '%ALLUSERSPROFILE%\Application Data\11505624\11505624.exe'
- '<SYSTEM32>\svchost.exe'
- '%TEMP%\6_ldr3.exe'
- '%TEMP%\avto.exe'
- '%TEMP%\teste1_p.exe'
- '%TEMP%\3_baracudanew.exe'
- '%TEMP%\4_pinnew.exe'
- '%TEMP%\5_odb.exe'
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKLM>\Software\Ghisler\Total Commander]
- [<HKLM>\Software\Ghisler\Windows Commander]
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\RimArts\B2\Settings]
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Trillian]
- [<HKCU>\SOFTWARE\RIT\The Bat!]
- [<HKCU>\Software\Ghisler\Total Commander]
- [<HKCU>\Software\Ghisler\Windows Commander]
Ищет следующие окна с целью
обхода различных антивирусов:
- ClassName: 'AVP.AhLearnDialog' WindowName: ''
- ClassName: 'AVP.Product_Notification' WindowName: ''
- ClassName: 'AVP.AlertDialog' WindowName: ''
- ClassName: 'AVP.AhAppChangedDialog' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1_dropper_other.exe
- <SYSTEM32>\amstreaml.exe
- %TEMP%\2_load.exe
- %WINDIR%\odb.exe
- %TEMP%\00196187.cmd
- %ALLUSERSPROFILE%\Application Data\11505624\11505624
- %ALLUSERSPROFILE%\Application Data\11505624\11505624.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tds2[1].php
- %WINDIR%\lsass.exe
- %TEMP%\6_ldr3.exe
- %TEMP%\5_odb.exe
- %TEMP%\teste1_p.exe
- %TEMP%\avto.exe
- %TEMP%\3_baracudanew.exe
- %WINDIR%\svc.exe
- <SYSTEM32>\sdra64.exe
- %TEMP%\4_pinnew.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\amstreaml.exe
- <SYSTEM32>\sdra64.exe
Удаляет следующие файлы:
- %TEMP%\1_dropper_other.exe
- %TEMP%\2_load.exe
Сетевая активность:
Подключается к:
- 'sa###ngins.cn':80
- 'localhost':1044
- 'localhost':1038
- 'localhost':1041
TCP:
Запросы HTTP GET:
- http://sa###ngins.cn/nop/tds2.php
UDP:
- DNS ASK gr###instant.cn
- DNS ASK se###pworld.cn
- DNS ASK be###ebtop.in
- DNS ASK tr##ublo.cn
- DNS ASK mo##tds.in
- DNS ASK sa###ngins.cn
- DNS ASK sc####lineworld.com
- DNS ASK am##eum.de
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: '??????? ??????? ??????????? ??????? ??????'
- ClassName: '' WindowName: 'Warning: Components Have Changed'
- ClassName: '' WindowName: 'Внимание: некоторые компоненты изменились'
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: '' WindowName: 'Hidden Process Requests Network Access'
- ClassName: '' WindowName: 'Скрытый процесс запрашивает сетевой доступ'
- ClassName: '' WindowName: '????????: ????????? ?????????? ??????????'
- ClassName: '' WindowName: 'Kaspersky Anti-Hacker - Create a rule for 4_pinnew.exe'
- ClassName: '' WindowName: 'Kaspersky Anti-Hacker - Создать правило для 4_pinnew.exe'
- ClassName: '' WindowName: 'Kaspersky Anti-Hacker - ??????? ??????? ??? 4_pinnew.exe'
- ClassName: '' WindowName: 'Create rule for 4_PINNEW.EXE'
- ClassName: '' WindowName: 'Создать правило для 4_PINNEW.EXE'
- ClassName: '' WindowName: '??????? ??????? ??? 4_PINNEW.EXE'
