Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '34793' = '%WINDIR%\svchost.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
Запускает на исполнение:
- <SYSTEM32>\net1.exe stop "security center"
- <SYSTEM32>\net.exe stop "windows defender"
- <SYSTEM32>\net1.exe stop "windows defender"
- <SYSTEM32>\net1.exe stop "sharedaccess"
- <SYSTEM32>\net.exe stop "sharedaccess"
- <SYSTEM32>\reg.exe add HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v DisableRegistryTools /t REG_DWORD /d 1 /f
- <SYSTEM32>\reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
- <SYSTEM32>\net.exe stop "security center"
- <SYSTEM32>\netsh.exe firewall set opmode mode = disable
Изменения в файловой системе:
Создает следующие файлы:
- C:\81851.81851
- C:\55616.55616
- C:\81139.81139
- C:\44041.44041
- C:\60401.60401
- C:\38761.38761
- C:\19368.19368
- C:\71628.71628
- C:\57421.57421
- C:\23168.23168
- C:\51241.51241
- C:\61833.61833
- C:\62164.62164
- C:\96412.96412
- C:\75642.75642
- C:\66740.66740
- C:\73915.73915
- C:\36163.36163
- C:\46239.46239
- C:\95048.95048
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\hanasucks[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hanasucks[2]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hanasucks[1]
- C:\25517.25517
- %APPDATA%\Microsoft\HTML Help\hh.dat
- C:\6685.6685
- C:\75918.75918
- %WINDIR%\svchost.exe
- C:\84023.84023
- C:\82295.82295
- C:\65048.65048
- %TEMP%\IMT1.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\plusCold[1].gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\note[1].gif
- C:\35870.35870
- C:\26241.26241
- C:\70696.70696
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\coUA[1].css
- C:\72432.72432
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\shared[1].js
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\coUAprint[1].css
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hanasucks[2]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\hanasucks[1]
Сетевая активность:
Подключается к:
- 'www.ha###ucks.com':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- www.ha###ucks.com/
UDP:
- DNS ASK www.be##.com
- DNS ASK www.th#####didlastnight.com
- DNS ASK www.microsoft.com
- DNS ASK www.us##ha.com
- DNS ASK www.ha###ucks.com
- DNS ASK www.yo##ube.com
- DNS ASK www.google.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
