Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\netsvc] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\Help\Help\en-US\netsvcs.exe' = '%WINDIR%\Help\Help\en-US\netsvcs.exe:*:Enabled:netsvc'
Создает и запускает на исполнение:
- '%WINDIR%\Help\Help\en-US\netsvcs.exe' -b netsvcs.dll
- '%WINDIR%\Help\Help\en-US\netsvcs.exe'
- '%WINDIR%\Help\Help\en-US\netsvc.exe' -i
- '%WINDIR%\Help\Help\en-US\netsvc.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' Firewall Add AllowedProgram "%WINDIR%\Help\Help\en-US\netsvcs.exe" netsvc ENABLE
- '<SYSTEM32>\net1.exe' start netsvc
- '<SYSTEM32>\attrib.exe' +s +h * /D /S
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\Help\Help\en-US\hide.bat" "
- '<SYSTEM32>\attrib.exe' +s +h Help
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Help\Help\en-US\netsvcs.exe
- %WINDIR%\Help\Help\en-US\netsvc.ini
- %WINDIR%\Help\Help\en-US\netsvc.exe
- %WINDIR%\Help\Help\en-US\netsvcs.dll
- %WINDIR%\Help\Help\en-US\Windows.hlp
- %WINDIR%\Help\Help\en-US\netsvc.log
- %WINDIR%\Help\Help\en-US\Help.hlp.tmp
- %WINDIR%\Help\Help\en-US\cyggcc_s-1.dll
- %WINDIR%\Help\Help\en-US\cygssl-1.0.0.dll
- %WINDIR%\Help\Help\en-US\cygcrypt-0.dll
- %WINDIR%\Help\Help\en-US\cygcrypto-1.0.0.dll
- %WINDIR%\Help\Help\en-US\hide.bat
- %WINDIR%\Help\Help\en-US\netsvc.bat
- %WINDIR%\Help\Help\en-US\cygwin1.dll
- %WINDIR%\Help\Help\en-US\cygz.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Help\Help\en-US\netsvc.bat
- %WINDIR%\Help\Help\en-US\hide.bat
- %WINDIR%\Help\Help\en-US\netsvc.exe
- %WINDIR%\Help\Help\en-US\netsvcs.exe
- %WINDIR%\Help\Help\en-US\netsvcs.dll
- %WINDIR%\Help\Help\en-US\cygz.dll
- %WINDIR%\Help\Help\en-US\cygcrypto-1.0.0.dll
- %WINDIR%\Help\Help\en-US\cygcrypt-0.dll
- %WINDIR%\Help\Help\en-US\cyggcc_s-1.dll
- %WINDIR%\Help\Help\en-US\cygwin1.dll
- %WINDIR%\Help\Help\en-US\cygssl-1.0.0.dll
Перемещает следующие файлы:
- %WINDIR%\Help\Help\en-US\Help.hlp.tmp в %WINDIR%\Help\Help\en-US\Help.hlp
Сетевая активность:
Подключается к:
- 'ri#######r.twilightparadox.com':9000
- 'localhost':1038
- 'localhost':1037
UDP:
- DNS ASK ri#######r.twilightparadox.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
