Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'messenger.exe' = '%CommonProgramFiles%\Microsoft Shared\Web Components\messenger.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- C:\1a6daf4a0c8b1d336eb7db\update\update.exe
- %TEMP%\WindowsInstaller-KB893803-v2-x86.exe
- %TEMP%\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\1a6daf4a0c8b1d336eb7db\update\eula.txt
- C:\1a6daf4a0c8b1d336eb7db\update\update_wxp.inf
- %TEMP%\apple_setup.ini
- C:\1a6daf4a0c8b1d336eb7db\$shtdwn$.req
- C:\1a6daf4a0c8b1d336eb7db\update\update_win2k.inf
- C:\1a6daf4a0c8b1d336eb7db\spuninst.exe
- C:\1a6daf4a0c8b1d336eb7db\update\updspapi.dll
- C:\1a6daf4a0c8b1d336eb7db\update\update_w2k3.inf
- C:\1a6daf4a0c8b1d336eb7db\update\update.exe
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %TEMP%\Cab6.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
- %WINDIR%\KB893803v2.log
- %WINDIR%\inf\oem3.PNF
- %WINDIR%\inf\oem3.inf
- C:\1a6daf4a0c8b1d336eb7db\msi.dll
- C:\1a6daf4a0c8b1d336eb7db\empty.cat
- C:\1a6daf4a0c8b1d336eb7db\msimsg.dll
- C:\1a6daf4a0c8b1d336eb7db\msihnd.dll
- %CommonProgramFiles%\Microsoft Shared\Web Components\messenger.exe
- %TEMP%\hosts
- %TEMP%\svchost.exe
- C:\messenger.exe
- %TEMP%\WindowsInstaller-KB893803-v2-x86.exe
- C:\1a6daf4a0c8b1d336eb7db\update\update.ver
- C:\1a6daf4a0c8b1d336eb7db\update\updatebr.inf
- C:\1a6daf4a0c8b1d336eb7db\spmsg.dll
- C:\1a6daf4a0c8b1d336eb7db\update\spcustom.dll
- C:\1a6daf4a0c8b1d336eb7db\update\kb893803v2_wxp.cat
- C:\1a6daf4a0c8b1d336eb7db\msiexec.exe
- C:\1a6daf4a0c8b1d336eb7db\msisip.dll
- C:\1a6daf4a0c8b1d336eb7db\update\kb893803v2_w2k.cat
- C:\1a6daf4a0c8b1d336eb7db\update\kb893803v2_net.cat
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
Удаляет следующие файлы:
- %TEMP%\Cab6.tmp
Сетевая активность:
Подключается к:
- 'www.download.windowsupdate.com':80
- 'wp#d':80
- 'up####-drivers.in':80
TCP:
Запросы HTTP GET:
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- up####-drivers.in/cfg/crypt1.php?id######
- wp#d/wpad.dat
UDP:
- DNS ASK www.download.windowsupdate.com
- DNS ASK wp#d
- DNS ASK up####-drivers.in
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
