Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MSNS' = '%WINDIR%\Temp\netservices\wlive\msnsvc.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MSNK' = '%WINDIR%\Temp\netservices\wlive\wlive.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\Temp\netservices\wlive\msnsvc.exe'
- '%WINDIR%\Temp\netservices\wlive\WLinstaller.exe'
- '%WINDIR%\Temp\netservices\wlive\wlive.exe'
- '%WINDIR%\Temp\netservices\wlive\msnmsgr.exe' //WINDOWS/Temp/netservices/wlive/msnmsgr.exe
- '%TEMP%\presetup.exe' //WINDOWS/Temp/netservices/wlive/msnmsgr.exe
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' ADD "HKLM\Software\Microsoft\Windows\CUrrentVersion\Run" /V MSNS /t REG_SZ /d "%WINDIR%\Temp\netservices\wlive\msnsvc.exe"
- '<SYSTEM32>\attrib.exe' +h +s %WINDIR%\Temp\netservices
- '<SYSTEM32>\reg.exe' ADD "HKLM\Software\Microsoft\Windows\CUrrentVersion\Run" /V MSNK /t REG_SZ /d "%WINDIR%\Temp\netservices\wlive\wlive.exe"
- '<SYSTEM32>\cmd.exe' /c cmd /c 26788.bat
- '<SYSTEM32>\cmd.exe' /c 26788.bat
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\Microsoft\WLSetup\Logs\2013-06-27_18-31_b7c-n7pngp7q.log
- %WINDIR%\Temp\netservices\wlive\iden.log
- %WINDIR%\Temp\netservices\wlive\1998166001CRNJEUFU-2013-06-271831.his
- %TEMP%\26788.bat
- %WINDIR%\Temp\netservices\wlive.exe
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\3130B1871A126520A8C47861EFE3ED4D
- %TEMP%\{9214BE97-5AEE-491D-AAD7-67156D82942A}\wls1.tmp
- %ALLUSERSPROFILE%\Application Data\Microsoft\WLSetup\wlt1.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\7B2238AACCEDC3F1FFE8E7EB5F575EC9
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\7B2238AACCEDC3F1FFE8E7EB5F575EC9
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\3130B1871A126520A8C47861EFE3ED4D
- %TEMP%\ejecutar.txt
- %WINDIR%\Temp\netservices\wlive\msnmsm.exe
- %WINDIR%\Temp\netservices\wlive\Nod32Vo1.dll
- %WINDIR%\Temp\netservices\wlive\Thumbs.db
- %WINDIR%\Temp\netservices\wlive\ident.txt
- %WINDIR%\Temp\netservices\wlive\inetmwin.dll
- %WINDIR%\Temp\netservices\wlive\msnmsgr.exe
- %WINDIR%\Temp\netservices\wlive\mirrorList.txt
- %WINDIR%\Temp\netservices\wlive\WLinstaller.exe
- %TEMP%\presetup.exe
- %WINDIR%\Temp\netservices\wlive\vbzip11.dll
- %WINDIR%\Temp\netservices\wlive\wlive.exe
- %WINDIR%\Temp\netservices\wlive\msnsvc.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Temp\netservices\wlive\Thumbs.db
Удаляет следующие файлы:
- %TEMP%\~DF9AD2.tmp
Сетевая активность:
Подключается к:
- 'localhost':1038
- 'g.##ve.com':80
- 'wp#d':80
- '20#.#6.232.182':80
TCP:
Запросы HTTP GET:
- 20#.#6.232.182/pki/crl/products/tspca.crl
- g.##ve.com/1rewlive3cat/es/catalog-web.cab
- wp#d/wpad.dat
- 20#.#6.232.182/pki/crl/products/CSPCA.crl
UDP:
- DNS ASK g.##ve.com
- DNS ASK crl.microsoft.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'ConsoleWindowClass' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
