Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Srv32Win' = '%PROGRAM_FILES%\winlogon.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\winsrvc.exe (загружен из сети Интернет)
- %WINDIR%\rspoolv.exe (загружен из сети Интернет)
- %PROGRAM_FILES%\winlogon.exe
- %WINDIR%\drsetup.exe (загружен из сети Интернет) -s
Запускает на исполнение:
- <SYSTEM32>\dumprep.exe 2832 -dm 7 7 "%TEMP%\WER2973.dir00\winlogon.exe.hdmp" 16325836412028056
- <SYSTEM32>\dumprep.exe 2832 -dm 7 7 "%TEMP%\WER2973.dir00\winlogon.exe.mdmp" 16325836412028056
Ищет следующие окна с целью
обнаружения различных программ и игр:
- ClassName: 'AOL Frame25' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\YahooDLL[1].dll
- %WINDIR%\rscc.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\RTSk16[1].dll
- %WINDIR%\rskl.dll
- %ALLUSERSPROFILE%\Application Data\emopts.dat
- %TEMP%\WER2973.dir00\appcompat.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\winsrvc[1].exe
- %WINDIR%\winsrvc.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\drsetup[1].dat
- %WINDIR%\drsetup.exe
- %PROGRAM_FILES%\winlogon.exe
- %WINDIR%\test.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\rsscap[1].dat
- %WINDIR%\rsscap.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\rspoolv[1].dat
- %WINDIR%\rspoolv.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %PROGRAM_FILES%\winlogon.exe
Удаляет следующие файлы:
- %WINDIR%\drsetup.exe
Сетевая активность:
Подключается к:
- 'www.re####me-spy.com':80
- 'www.ss##1.com':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- www.ss##1.com/R0400/YahooDLL.dll
- www.ss##1.com/R0400/winsrvc.exe
- www.re####me-spy.com/mems/get_users_ip.php?us##########################################################
- www.ss##1.com/R0400/RTSk16.dll
- www.ss##1.com/R0400/drsetup.dat
- www.ss##1.com/R0400/rspoolv.dat
- www.ss##1.com/R0400/rsscap.dat
Запросы HTTP POST:
- www.re####me-spy.com/mems/add_rt_log.php
UDP:
- DNS ASK www.re####me-spy.com
- DNS ASK www.ss##1.com
Другое:
Ищет следующие окна:
- ClassName: 'MozillaWindowClass' WindowName: ''
- ClassName: 'MozillaUIWindowClass' WindowName: ''
- ClassName: 'Internet Explorer_Server' WindowName: ''
- ClassName: 'SpyAgent_HWND32' WindowName: ''
- ClassName: 'BrowserFrameGripperClass' WindowName: ''
- ClassName: 'Chrome_XPFrame' WindowName: ''
- ClassName: 'OpWindow' WindowName: ''
- ClassName: '{1C03B488-D53B-4a81-97F8-754559640193}' WindowName: ''
- ClassName: 'Shell DocObject View' WindowName: ''
- ClassName: '#32770' WindowName: 'System Configuration Utility'
- ClassName: '' WindowName: 'Microsoft System Information'
- ClassName: 'PCHShell Window' WindowName: 'System Information'
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'CabinetWClass' WindowName: ''
- ClassName: 'BLDOPERA' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'ExploreWClass' WindowName: ''
