Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\game\msning\tmpone.bat
- <Имя диска съемного носителя>:\game\msning\tmptwo.bat
- <Имя диска съемного носителя>:\game\msning\f.bat
- <Имя диска съемного носителя>:\game\msning\a.bat
- <Имя диска съемного носителя>:\game\msning\makefile
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\GDI" /v "" /d "http://www.44#5.me/bat.html" /f
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\GDIJIA" /v "" /d "http://ta###o.mm5m.cn" /f
- <SYSTEM32>\ntvdm.exe -f
- <SYSTEM32>\wscript.exe -e:vbs "<Имя диска съемного носителя>:\game\msning\tmpone.bat"
- <SYSTEM32>\cmd.exe /c """%TEMP%\мЕОимЕТфЧоРВ°ж.exe.bat"" "
- <SYSTEM32>\attrib.exe +s +h "<Имя диска съемного носителя>:\game"
- <SYSTEM32>\attrib.exe +s +h "<Имя диска съемного носителя>:\game\msning"
Скрывает следующие процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\scs15.tmp
- C:\15.DLL
- %WINDIR%\Temp\scs14.tmp
- C:\17.DLL
- %WINDIR%\Temp\scs16.tmp
- C:\16.DLL
- C:\14.DLL
- C:\12.DLL
- %WINDIR%\Temp\scs11.tmp
- C:\11.DLL
- %WINDIR%\Temp\scs13.tmp
- C:\13.DLL
- %WINDIR%\Temp\scs12.tmp
- %WINDIR%\Temp\scs17.tmp
- %WINDIR%\Temp\scs1C.tmp
- C:\22.DLL
- %WINDIR%\Temp\scs1B.tmp
- C:\24.DLL
- %WINDIR%\Temp\scs1D.tmp
- C:\23.DLL
- C:\21.DLL
- C:\19.DLL
- %WINDIR%\Temp\scs18.tmp
- C:\18.DLL
- %WINDIR%\Temp\scs1A.tmp
- C:\20.DLL
- %WINDIR%\Temp\scs19.tmp
- %WINDIR%\Temp\scs8.tmp
- C:\2.DLL
- %WINDIR%\Temp\scs7.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\index5[1].html
- %WINDIR%\Temp\scs9.tmp
- C:\3.DLL
- C:\1.DLL
- %TEMP%\nsz3.tmp\inetc.dll
- %TEMP%\мЕОимЕТфЧоРВ°ж.exe
- %TEMP%\мЕОимЕТфЧоРВ°ж.exe.bat
- %WINDIR%\Temp\scs6.tmp
- %WINDIR%\Temp\scs5.tmp
- %WINDIR%\Temp\scs4.tmp
- C:\4.DLL
- C:\9.DLL
- %WINDIR%\Temp\scsE.tmp
- C:\8.DLL
- %WINDIR%\Temp\scs10.tmp
- C:\10.DLL
- %WINDIR%\Temp\scsF.tmp
- %WINDIR%\Temp\scsD.tmp
- %WINDIR%\Temp\scsB.tmp
- C:\5.DLL
- %WINDIR%\Temp\scsA.tmp
- C:\7.DLL
- %WINDIR%\Temp\scsC.tmp
- C:\6.DLL
Удаляет следующие файлы:
- %WINDIR%\Temp\scs14.tmp
- %WINDIR%\Temp\scs15.tmp
- %WINDIR%\Temp\scs16.tmp
- %WINDIR%\Temp\scs11.tmp
- %WINDIR%\Temp\scs12.tmp
- %WINDIR%\Temp\scs13.tmp
- %WINDIR%\Temp\scs17.tmp
- %WINDIR%\Temp\scs1B.tmp
- %WINDIR%\Temp\scs1C.tmp
- %WINDIR%\Temp\scs1D.tmp
- %WINDIR%\Temp\scs18.tmp
- %WINDIR%\Temp\scs19.tmp
- %WINDIR%\Temp\scs1A.tmp
- %WINDIR%\Temp\scs10.tmp
- %WINDIR%\Temp\scs6.tmp
- %WINDIR%\Temp\scs7.tmp
- %WINDIR%\Temp\scs8.tmp
- %WINDIR%\Temp\scs4.tmp
- %WINDIR%\Temp\scs5.tmp
- %TEMP%\nsz3.tmp\inetc.dll
- %WINDIR%\Temp\scs9.tmp
- %WINDIR%\Temp\scsD.tmp
- %WINDIR%\Temp\scsE.tmp
- %WINDIR%\Temp\scsF.tmp
- %WINDIR%\Temp\scsA.tmp
- %WINDIR%\Temp\scsB.tmp
- %WINDIR%\Temp\scsC.tmp
Сетевая активность:
Подключается к:
- 'localhost':1043
- '12#.##kankan.com':80
- 'mu###.pankti.info':1370
- 'do##.#engyange.com':1369
TCP:
Запросы HTTP GET:
- 12#.##kankan.com/index5.html
UDP:
- DNS ASK 12#.##kankan.com
- DNS ASK do##.#engyange.com
- DNS ASK mu###.pankti.info
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'ConsoleWindowClass' WindowName: 'ntvdm-bb4.bb8.3b0001'
