Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'messenger.exe' = '%CommonProgramFiles%\Microsoft Shared\Web Components\messenger.exe'
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\SA.DAT
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe /u /s ""%PROGRAM_FILES%\McAfee.com\MPS\mcgdping.dll""
- <SYSTEM32>\regsvr32.exe /u /s "<SYSTEM32>\mclsp.dll"
- <SYSTEM32>\regsvr32.exe /u /s "%PROGRAM_FILES%\McAfee\MPF\MpfSvc.dll"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\MCPR.tmp\Mpf\~GLH00b4.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00b5.TMP
- %TEMP%\MCPR.tmp\McProxy\~GLH00b2.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00b3.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00b8.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00b9.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00b6.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00b7.TMP
- %TEMP%\MCPR.tmp\McProxy\~GLH00b1.TMP
- %TEMP%\MCPR.tmp\MWL\~GLH00ab.TMP
- %TEMP%\MCPR.tmp\McProxy\~GLH00ac.TMP
- %TEMP%\MCPR.tmp\MWL\~GLH00a9.TMP
- %TEMP%\MCPR.tmp\MWL\~GLH00aa.TMP
- %TEMP%\MCPR.tmp\McProxy\~GLH00af.TMP
- %TEMP%\MCPR.tmp\McProxy\~GLH00b0.TMP
- %TEMP%\MCPR.tmp\McProxy\~GLH00ad.TMP
- %TEMP%\MCPR.tmp\McProxy\~GLH00ae.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00ba.TMP
- %TEMP%\MCPR.tmp\NMC\~GLH00c6.TMP
- %TEMP%\MCPR.tmp\NMC\~GLH00c7.TMP
- %TEMP%\MCPR.tmp\NMC\~GLH00c4.TMP
- %TEMP%\MCPR.tmp\NMC\~GLH00c5.TMP
- %TEMP%\MCPR.tmp\RedirSvc\~GLH00ca.TMP
- %TEMP%\MCPR.tmp\RedirSvc\~GLH00cb.TMP
- %TEMP%\MCPR.tmp\RedirSvc\~GLH00c8.TMP
- %TEMP%\MCPR.tmp\RedirSvc\~GLH00c9.TMP
- %TEMP%\MCPR.tmp\NMC\~GLH00c3.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00bd.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00be.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00bb.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00bc.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00c1.TMP
- %TEMP%\MCPR.tmp\NMC\~GLH00c2.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00bf.TMP
- %TEMP%\MCPR.tmp\Mpf\~GLH00c0.TMP
- %TEMP%\MCPR.tmp\MWL\~GLH00a8.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH0090.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH0091.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH008e.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH008f.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH0094.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH0095.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH0092.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH0093.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH008d.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH0087.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH0088.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH0085.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH0086.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH008b.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH008c.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH0089.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH008a.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH0096.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH00a2.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH00a3.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH00a0.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH00a1.TMP
- %TEMP%\MCPR.tmp\MWL\~GLH00a6.TMP
- %TEMP%\MCPR.tmp\MWL\~GLH00a7.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH00a4.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH00a5.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH009f.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH0099.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH009a.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH0097.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH0098.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH009d.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH009e.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH009b.TMP
- %TEMP%\MCPR.tmp\MSK\~GLH009c.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00fb.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH00fc.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00f9.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00fa.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH00ff.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH0100.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH00fd.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH00fe.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00f8.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00f2.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00f3.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00f0.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00f1.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00f6.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00f7.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00f4.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00f5.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH0101.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\x86\~GLH010d.TMP
- %TEMP%\MCPR.tmp\MCPR\~GLH010e.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH010b.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH010c.TMP
- %TEMP%\mccleanup.log
- %TEMP%\nsz5.tmp\blowfish.dll
- %TEMP%\MCPR.tmp\MCPR\~GLH010f.TMP
- %TEMP%\MCPR.tmp\MCPR\~GLH0110.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH010a.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH0104.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH0105.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH0102.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH0103.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH0108.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH0109.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH0106.TMP
- %TEMP%\MCPR.tmp\VS\vscore64\~GLH0107.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00ef.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00d7.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00d8.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00d5.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00d6.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00db.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00dc.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00d9.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00da.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00d4.TMP
- %TEMP%\MCPR.tmp\McSvcHost\~GLH00ce.TMP
- %TEMP%\MCPR.tmp\McSvcHost\~GLH00cf.TMP
- %TEMP%\MCPR.tmp\RedirSvc\~GLH00cc.TMP
- %TEMP%\MCPR.tmp\McSvcHost\~GLH00cd.TMP
- %TEMP%\MCPR.tmp\McSvcHost\~GLH00d2.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00d3.TMP
- %TEMP%\MCPR.tmp\McSvcHost\~GLH00d0.TMP
- %TEMP%\MCPR.tmp\McSvcHost\~GLH00d1.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00dd.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00e9.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00ea.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00e7.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00e8.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00ed.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00ee.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00eb.TMP
- %TEMP%\MCPR.tmp\VS\vscore\~GLH00ec.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00e6.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00e0.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00e1.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00de.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00df.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00e4.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00e5.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00e2.TMP
- %TEMP%\MCPR.tmp\VS\~GLH00e3.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH0084.TMP
- %TEMP%\MCPR.tmp\MBK\~GLH0025.TMP
- %TEMP%\MCPR.tmp\MBK\~GLH0026.TMP
- %TEMP%\MCPR.tmp\MBK\~GLH0023.TMP
- %TEMP%\MCPR.tmp\MBK\~GLH0024.TMP
- %TEMP%\MCPR.tmp\MHN\~GLH0029.TMP
- %TEMP%\MCPR.tmp\MHN\~GLH002a.TMP
- %TEMP%\MCPR.tmp\MHN\~GLH0027.TMP
- %TEMP%\MCPR.tmp\MHN\~GLH0028.TMP
- %TEMP%\MCPR.tmp\MBK\~GLH0022.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH001c.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH001d.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH001a.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH001b.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH0020.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH0021.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH001e.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH001f.TMP
- %TEMP%\MCPR.tmp\MHN\~GLH002b.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0037.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0038.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0035.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0036.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH003b.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH003c.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0039.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH003a.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0034.TMP
- %TEMP%\MCPR.tmp\MNA\~GLH002e.TMP
- %TEMP%\MCPR.tmp\MNA\~GLH002f.TMP
- %TEMP%\MCPR.tmp\MHN\~GLH002c.TMP
- %TEMP%\MCPR.tmp\MNA\~GLH002d.TMP
- %TEMP%\MCPR.tmp\MNA\~GLH0032.TMP
- %TEMP%\MCPR.tmp\MNA\~GLH0033.TMP
- %TEMP%\MCPR.tmp\MNA\~GLH0030.TMP
- %TEMP%\MCPR.tmp\MNA\~GLH0031.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH0019.TMP
- %TEMP%\MCPR.tmp\~GLH0002.TMP
- %TEMP%\MCPR.tmp\EMProxy\~GLH0003.TMP
- %TEMP%\MCPR.tmp\~GLH0000.TMP
- %TEMP%\MCPR.tmp\~GLH0001.TMP
- %TEMP%\MCPR.tmp\EMProxy\~GLH0006.TMP
- %TEMP%\MCPR.tmp\EMProxy\~GLH0007.TMP
- %TEMP%\MCPR.tmp\EMProxy\~GLH0004.TMP
- %TEMP%\MCPR.tmp\EMProxy\~GLH0005.TMP
- %TEMP%\nsz5.tmp\NSISdl.dll
- %TEMP%\MCPR.exe
- %TEMP%\GLB2.tmp
- %TEMP%\svchost.exe
- %TEMP%\hosts
- %CommonProgramFiles%\Microsoft Shared\Web Components\messenger.exe
- %TEMP%\nsz5.tmp\NSISArray.dll
- C:\messenger.exe
- %TEMP%\GLC4.tmp
- %TEMP%\MCPR.tmp\FWDriver\~GLH0008.TMP
- %TEMP%\MCPR.tmp\HW\~GLH0013.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH0014.TMP
- %TEMP%\MCPR.tmp\HW\~GLH0012.TMP
- %TEMP%\apple_setup.ini
- %TEMP%\MCPR.tmp\MAS\~GLH0017.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH0018.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH0015.TMP
- %TEMP%\MCPR.tmp\MAS\~GLH0016.TMP
- %TEMP%\MCPR.tmp\HW\~GLH0011.TMP
- %TEMP%\MCPR.tmp\FWDriver\~GLH000b.TMP
- %TEMP%\MCPR.tmp\FWDriver\~GLH000c.TMP
- %TEMP%\MCPR.tmp\FWDriver\~GLH0009.TMP
- %TEMP%\MCPR.tmp\FWDriver\~GLH000a.TMP
- %TEMP%\MCPR.tmp\HW\~GLH000f.TMP
- %TEMP%\MCPR.tmp\HW\~GLH0010.TMP
- %TEMP%\MCPR.tmp\FWDriver\~GLH000d.TMP
- %TEMP%\MCPR.tmp\HW\~GLH000e.TMP
- %TEMP%\MCPR.tmp\MSAD\~GLH006c.TMP
- %TEMP%\MCPR.tmp\MSAD\~GLH006d.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH006a.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH006b.TMP
- %TEMP%\MCPR.tmp\MOBK\~GLH0070.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH0071.TMP
- %TEMP%\MCPR.tmp\MSAD\~GLH006e.TMP
- %TEMP%\MCPR.tmp\MOBK\~GLH006f.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH0069.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH0063.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH0064.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH0061.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH0062.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH0067.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH0068.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH0065.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH0066.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH0072.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH007e.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH007f.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH007c.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH007d.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH0082.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH0083.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH0080.TMP
- %TEMP%\MCPR.tmp\MSHR\~GLH0081.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH007b.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH0075.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH0076.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH0073.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH0074.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH0079.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH007a.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH0077.TMP
- %TEMP%\MCPR.tmp\MSC\~GLH0078.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH0060.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0048.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0049.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0046.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0047.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH004c.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH004d.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH004a.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH004b.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0045.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH003f.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0040.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH003d.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH003e.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0043.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0044.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0041.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0042.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH004e.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH005a.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH005b.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0058.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0059.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH005e.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH005f.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH005c.TMP
- %TEMP%\MCPR.tmp\MQC\~GLH005d.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0057.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0051.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0052.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH004f.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0050.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0055.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0056.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0053.TMP
- %TEMP%\MCPR.tmp\MPS\~GLH0054.TMP
Удаляет следующие файлы:
- %TEMP%\nsz5.tmp\blowfish.dll
- %TEMP%\nsz5.tmp\NSISArray.dll
- %TEMP%\nsz5.tmp\NSISdl.dll
- %TEMP%\MCPR.exe
- %TEMP%\GLC4.tmp
- %TEMP%\GLB2.tmp
- %TEMP%\hosts
Сетевая активность:
Подключается к:
- 'dr#####pdservers.net':80
TCP:
Запросы HTTP GET:
- dr#####pdservers.net/cfg/crypt1.php?id######
UDP:
- DNS ASK dr#####pdservers.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
