Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Internet Explorer\Desktop\Components\0] 'Source' = 'About:Home'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<Текущая директория>\lpcywinp.exe,<SYSTEM32>\userinit.exe'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<Текущая директория>\lpcywinp.exe,<SYSTEM32>\userinit.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe -s <SYSTEM32>\egmulhxk.dll
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\wbeInst$.exe
- %WINDIR%\wbeCheck.exe
- %WINDIR%\adbar.dll
- %WINDIR%\iexplorr23.dll
- %WINDIR%\pbsysie.dll
- %WINDIR%\settn.dll
- %WINDIR%\kvnab$.exe
- %WINDIR%\cbinst$.exe
- %WINDIR%\hcwprn.exe
- %WINDIR%\jd2002.dll
- %PROGRAM_FILES%\amsys\msvcrt.dll
- %PROGRAM_FILES%\amsys\unins000.dat
- %PROGRAM_FILES%\amsys\ijl15.dll
- %PROGRAM_FILES%\amsys\mfc42.dll
- %PROGRAM_FILES%\amsys\unis000.exe
- <SYSTEM32>\ESHOPEE.exe
- %WINDIR%\spredirect.dll
- %PROGRAM_FILES%\amsys\winam.dat
- %PROGRAM_FILES%\e-zshopper\BarLcher.dll
- %WINDIR%\kvnab.exe
- %WINDIR%\liqui-Uninstaller.exe
- %WINDIR%\liqui.exe
- %WINDIR%\fhfmm-Uninstaller.exe
- %WINDIR%\fhfmm.exe
- %WINDIR%\liqui.dll
- %WINDIR%\eventlowg.dll
- %WINDIR%\default.htm
- <SYSTEM32>\msole32.exe
- %WINDIR%\daxtime.dll
- %WINDIR%\xadbrk.dll
- %WINDIR%\liqad.exe
- %WINDIR%\liqad.dll
- %WINDIR%\kvnab.dll
- %WINDIR%\liqad$.exe
- %WINDIR%\kkcomp$.exe
- %WINDIR%\xadbrk_.exe
- %WINDIR%\xadbrk.exe
- %WINDIR%\kkcomp.exe
- %WINDIR%\kkcomp.dll
- %WINDIR%\vxddsk.exe
- %WINDIR%\absolute key logger.lnk
- <SYSTEM32>\wml.exe
- <SYSTEM32>\vxddsk.exe
- %PROGRAM_FILES%\akl\unsetup.exe
- %PROGRAM_FILES%\akl\curlog.htm
- %PROGRAM_FILES%\akl\keylog.txt
- %PROGRAM_FILES%\akl\akl.dll
- %PROGRAM_FILES%\akl\akl.exe
- %WINDIR%\wml.exe
- <Текущая директория>\mkwucqxi.base
- %PROGRAM_FILES%\3721\helper.dll
- <SYSTEM32>\dpqaqlqx.bin
- %PROGRAM_FILES%\3721\assist\asbar.dll
- %WINDIR%\flt.dll
- %WINDIR%\7search.dll
- %WINDIR%\pbar.dll
- %WINDIR%\764.exe
- %PROGRAM_FILES%\akl\readme.txt
- %WINDIR%\aconti.exe
- %WINDIR%\aconti.ini
- <SYSTEM32>\acespy\systune.exe
- %WINDIR%\ie_32.exe
- %WINDIR%\aconti.log
- %PROGRAM_FILES%\amsys\awmsg.dat
- %PROGRAM_FILES%\amsys\guid.dat
- %WINDIR%\aconti.sdb
- %WINDIR%\acontidialer.txt
- <SYSTEM32>\acespy\__acelog.ndx
- %PROGRAM_FILES%\p2pnetworks\amp2pl.exe
- %WINDIR%\dp0.dll
- %PROGRAM_FILES%\akl\uninstall.exe
- %PROGRAM_FILES%\akl\unsetup.dat
- %WINDIR%\hotporn.exe
- %PROGRAM_FILES%\Accoona\ASearchAssist.dll
- <SYSTEM32>\ace16win.dll
- %WINDIR%\ngd.dll
- %WINDIR%\xxxvideo.exe
Удаляет следующие файлы:
- <Текущая директория>\mkwucqxi.base
Сетевая активность:
Подключается к:
- 'li####datesnet.com':80
TCP:
Запросы HTTP GET:
- li####datesnet.com/files.ini
UDP:
- DNS ASK li####datesnet.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'BaseBar' WindowName: 'ChanApp'
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'SysListView32' WindowName: ''
