Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\sapisvr.exe.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\DW20.EXE.lnk
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\3NSNR5] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\OSLNBF] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\HVHHPXNKYXU.exe' JD02F9DVR4KK
- '%PROGRAM_FILES%\HVHHPXNKYXU.exe' <Полный путь к вирусу>
Запускает на исполнение:
- '<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Display Inline Videos" /t REG_SZ /d no /F
- '<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Internet Explorer\Main" /v Play_Animations /t REG_SZ /d no /F
- '<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Internet Explorer\Main" /v Play_Background_Sounds /t REG_SZ /d no /F
- '<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Display Inline Images" /t REG_SZ /d yes /F
- '<SYSTEM32>\reg.exe' delete HKLM\Software\Microsoft\Windows\CurrentVersion\Run /F
- '<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Disable Script Debugger" /t REG_SZ /d yes /F
- '<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Internet Explorer\Main" /v DisableScriptDebuggerIE /t REG_SZ /d yes /F
- '<SYSTEM32>\regsvr32.exe' /s jscript.dll
- '<SYSTEM32>\regsvr32.exe' /u /s shimgvw.dll
- '<SYSTEM32>\sc.exe' create U6C05BinPath= "%PROGRAM_FILES%\7WP056AHLP\GZM1L0W1Z.exe -start" type= own type= interact start= auto DisplayName= NMV0WZJ
- '<SYSTEM32>\cmd.exe' /c "%PROGRAM_FILES%\WJ3CFLS.bat"
- '<SYSTEM32>\cmd.exe' /c "%PROGRAM_FILES%\J4FW31BD.bat"
- '<SYSTEM32>\regsvr32.exe' /u /s vbscript.dll
- '<SYSTEM32>\regsvr32.exe' /u /s scrrun.dll
- '<SYSTEM32>\sc.exe' create WZHVLYX3BinPath= "%PROGRAM_FILES%\UC9D5IHLOV4\IG4PMCXBECDU.exe -start" type= own type= interact start= auto DisplayName= PDH2N0MA87
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\drwtsn32.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\UC9D5IHLOV4\IG4PMCXBECDU.exe
- %PROGRAM_FILES%\J4FW31BD.bat
- %WINDIR%\F8D8RODHWJCX.exe
- %PROGRAM_FILES%\HVHHPXNKYXU.exe
- %PROGRAM_FILES%\7WP056AHLP\GZM1L0W1Z.exe
- %PROGRAM_FILES%\WJ3CFLS.bat
- %WINDIR%\JYO7OUZR.exe
Удаляет следующие файлы:
- %WINDIR%\Media\Windows XP Logon Sound.wav
- %WINDIR%\Media\Windows XP Logoff Sound.wav
- %WINDIR%\Media\Windows XP Minimize.wav
- %WINDIR%\Media\Windows XP Menu Command.wav
- %WINDIR%\Media\Windows XP Information Bar.wav
- %WINDIR%\Media\Windows XP Hardware Fail.wav
- %WINDIR%\Media\Windows XP Exclamation.wav
- %WINDIR%\Media\Windows XP Hardware Remove.wav
- %WINDIR%\Media\Windows XP Hardware Insert.wav
- %WINDIR%\Media\Windows XP Notify.wav
- %WINDIR%\Media\Windows XP Shutdown.wav
- %WINDIR%\Media\Windows XP Ringout.wav
- %WINDIR%\Media\Windows XP Startup.wav
- %WINDIR%\Media\Windows XP Start.wav
- %WINDIR%\Media\Windows XP Ringin.wav
- %WINDIR%\Media\Windows XP Print complete.wav
- %WINDIR%\Media\Windows XP Pop-up Blocked.wav
- %WINDIR%\Media\Windows XP Restore.wav
- %WINDIR%\Media\Windows XP Recycle.wav
- %WINDIR%\Media\recycle.wav
- %WINDIR%\Media\onestop.mid
- %WINDIR%\Media\ringout.wav
- %WINDIR%\Media\ringin.wav
- %WINDIR%\Media\notify.wav
- %WINDIR%\Media\chord.wav
- %WINDIR%\Media\chimes.wav
- %WINDIR%\Media\flourish.mid
- %WINDIR%\Media\ding.wav
- %WINDIR%\Media\start.wav
- %WINDIR%\Media\Windows XP Default.wav
- %WINDIR%\Media\Windows XP Critical Stop.wav
- %WINDIR%\Media\Windows XP Error.wav
- %WINDIR%\Media\Windows XP Ding.wav
- %WINDIR%\Media\Windows XP Battery Low.wav
- %WINDIR%\Media\town.mid
- %WINDIR%\Media\tada.wav
- %WINDIR%\Media\Windows XP Battery Critical.wav
- %WINDIR%\Media\Windows XP Balloon.wav
Сетевая активность:
Подключается к:
- '58.#9.58.27':443
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'DKXLEMCSCP' WindowName: 'ogvlpwncmo'
