Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\gofogt] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\musmhu] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\КН·ЕОЮЧўИл.exe
- <SYSTEM32>\wf86.exe
Запускает на исполнение:
- <SYSTEM32>\sc.exe start musmhu
- <SYSTEM32>\sc.exe stop musmhu
- <SYSTEM32>\sc.exe create gofogt type= kernel start= auto binpath= "%ALLUSERSPROFILE%\Application Data\HYHWYXM\gofogt.bin"
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\sc.exe create musmhu type= kernel binpath= "%ALLUSERSPROFILE%\Application Data\HYHWYXM\musmhu.bin" start= auto
- <SYSTEM32>\sc.exe stop null
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\az[1].php
- %WINDIR%\msagent\oz1992.tlb
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\az[1].php
- %ALLUSERSPROFILE%\Application Data\HYHWYXM\musmhu.bin
- %WINDIR%\msagent\tob3579
- %ALLUSERSPROFILE%\Application Data\HYHWYXM\gofogt.bin
- %WINDIR%\Temp\{8151fce9-2cc8-43d4-008d-a65f5cbd4386}
- %WINDIR%\srchasst\to3748.lex
- %WINDIR%\srchasst\pb7092.lex
- %TEMP%\1.tmp
- <SYSTEM32>\SkinH_EL.dll
- %HOMEPATH%\Favorites\Нв№ТЧч·»№Щ·ЅХѕ [www.zuowg.com].url
- <SYSTEM32>\wf86.exe
- <SYSTEM32>\КН·ЕОЮЧўИл.exe
- %HOMEPATH%\Favorites\Нв№ТЧч·»ЧКФґХѕ [42724920.ys168.com].url
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\az[1].php
- %ALLUSERSPROFILE%\Application Data\HYHWYXM\bkn6603.nfo
- %TEMP%\black.she
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\az[1].php
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\SkinH_EL.dll
- <SYSTEM32>\КН·ЕОЮЧўИл.exe
- <SYSTEM32>\wf86.exe
Удаляет следующие файлы:
- %ALLUSERSPROFILE%\Application Data\HYHWYXM\musmhu.bin
- %ALLUSERSPROFILE%\Application Data\HYHWYXM\gofogt.bin
- %TEMP%\1.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\az[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\az[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\az[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\az[1].php
Сетевая активность:
Подключается к:
- 'rp##.21civ.com':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- rp##.21civ.com/az.php?st######################################################
UDP:
- DNS ASK www.ba##u.com
- DNS ASK rp##.21civ.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
