Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'CTFMON.CPL' = 'ctfmon.cpl.cmd'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' /pid=932
- '<SYSTEM32>\attrib.exe' /pid=484
- '<SYSTEM32>\ping.exe' /pid=940
- '<SYSTEM32>\ping.exe' /pid=2508
- '<SYSTEM32>\attrib.exe' /pid=1408
- '<SYSTEM32>\fc.exe' /pid=1344
- '<SYSTEM32>\attrib.exe' /pid=1096
- '<SYSTEM32>\fc.exe' +h +s c:\autorun.inf
- '<SYSTEM32>\ping.exe' /pid=184
- '<SYSTEM32>\attrib.exe' /pid=672
- '<SYSTEM32>\fc.exe' /pid=280
- '<SYSTEM32>\ping.exe' /pid=1768
- '<SYSTEM32>\attrib.exe' /pid=3456
- '<SYSTEM32>\attrib.exe' /pid=3440
- '<SYSTEM32>\fc.exe' /pid=2884
- '<SYSTEM32>\fc.exe' /pid=3676
- '<SYSTEM32>\attrib.exe' /pid=3620
- '<SYSTEM32>\fc.exe' /pid=3560
- '%WINDIR%\regedit.exe' 208.109.181.140 -n 3 -w 1000
- '<SYSTEM32>\ping.exe' /pid=2540
- '<SYSTEM32>\attrib.exe' /pid=2520
- '<SYSTEM32>\ping.exe' +h +s c:\autorun.inf
- '<SYSTEM32>\attrib.exe' /pid=2992
- '<SYSTEM32>\attrib.exe' /pid=2928
- '<SYSTEM32>\attrib.exe' /pid=1488
- '<SYSTEM32>\ping.exe' 208.109.181.140 -n 3 -w 1000
- '<SYSTEM32>\attrib.exe' +h +s c:\autorun.inf
- '<SYSTEM32>\attrib.exe' 208.109.181.140 -n 3 -w 1000
- '<SYSTEM32>\fc.exe' /pid=3136
- '<SYSTEM32>\ping.exe' +h +s c:\explore.exe
- '<SYSTEM32>\attrib.exe' +h +s <SYSTEM32>\ctfmon.cpl.cmd
- '<SYSTEM32>\attrib.exe' -h -s -r <SYSTEM32>\ctfmon.cpl.cmd
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\batfile.bat" "
- '<SYSTEM32>\attrib.exe' +h +s c:\explore.exe
- '<SYSTEM32>\fc.exe' <SYSTEM32>\runchap.dll <SYSTEM32>\runctrs.dll
- '%WINDIR%\regedit.exe' /s c:\auto70717.reg
- '<SYSTEM32>\fc.exe' +h +s c:\explore.exe
- '<SYSTEM32>\ping.exe' /pid=3956
- '<SYSTEM32>\attrib.exe' /pid=3896
- '<SYSTEM32>\attrib.exe' /pid=4056
- '<SYSTEM32>\fc.exe' /pid=4028
- '<SYSTEM32>\attrib.exe' /pid=3968
- '<SYSTEM32>\fc.exe' /pid=3300
- '<SYSTEM32>\fc.exe' /pid=3208
- '<SYSTEM32>\ping.exe' <SYSTEM32>\runchap.dll <SYSTEM32>\runctrs.dll
- '<SYSTEM32>\fc.exe' 208.109.181.140 -n 3 -w 1000
- '<SYSTEM32>\fc.exe' /pid=3228
- '<SYSTEM32>\attrib.exe' <SYSTEM32>\runchap.dll <SYSTEM32>\runctrs.dll
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\fc.exe
- %WINDIR%\regedit.exe
- <SYSTEM32>\ping.exe
- <SYSTEM32>\attrib.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\auto70717.reg
- <SYSTEM32>\runchap.dll
- <SYSTEM32>\runctrs.dll
- %TEMP%\1.tmp\batfile.bat
- %TEMP%\1.tmp\ctfmon.dll
- <SYSTEM32>\ctfmon.cpl.cmd
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\ctfmon.cpl.cmd
Удаляет следующие файлы:
- C:\auto70717.reg
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
