Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Control Panel\Desktop] 'SCRNSAVE.EXE' = '%APPDATA%\Microsoft\Windows\smelt.scr'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'commtel32' = '%APPDATA%\commtel32.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Browser] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\SSDPSRV] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\upnphost] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%APPDATA%\Microsoft\Windows\smelt.scr' /s
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' START seclogon
- '<SYSTEM32>\reg.exe' DELETE "HKCU\software\microsoft\windows\currentversion\action center\checks" /f
- '<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v EnableBalloonTips /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' ADD "HKCR\.zip\CompressedFolder\ShellNew" /v "FileName" /t REG_SZ /d "%APPDATA%\newzip.dat" /f
- '<SYSTEM32>\reg.exe' ADD "HKCR\.rar\ShellNew" /v "FileName" /t REG_SZ /d "%APPDATA%\newzip.dat" /f
- '<SYSTEM32>\sc.exe' config browser start= auto
- '<SYSTEM32>\net1.exe' start upnphost
- '<SYSTEM32>\sc.exe' config SSDPSRV start= auto
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\sc.exe' config upnphost start= auto
- '<SYSTEM32>\reg.exe' ADD "HKCR\.zip\ShellNew" /v "FileName" /t REG_SZ /d "%APPDATA%\newzip.dat" /f
- '<SYSTEM32>\attrib.exe' -R -H -S "<SYSTEM32>\duco.exe"
- '<SYSTEM32>\attrib.exe' +R +H +S "<SYSTEM32>\duco.exe"
- '<SYSTEM32>\reg.exe' ADD "HKCU\software\microsoft\windows\currentversion\run" /v "commtel32" /t REG_SZ /d "%APPDATA%\commtel32.exe" /f
- '<SYSTEM32>\attrib.exe' -R -H -S "%APPDATA%\commtel32.exe"
- '<SYSTEM32>\attrib.exe' +R +H +S "%APPDATA%\commtel32.exe"
- '<SYSTEM32>\reg.exe' ADD "HKCU\Control Panel\Desktop" /v ScreenSaveActive /t REG_SZ /d "1" /f
- '<SYSTEM32>\reg.exe' ADD "HKCU\Control Panel\Desktop" /v ScreenSaveTimeOut /t REG_SZ /d "60" /f
- '<SYSTEM32>\reg.exe' ADD "HKCU\Control Panel\Desktop" /v "SCRNSAVE.EXE" /t REG_SZ /d "%APPDATA%\Microsoft\Windows\smelt.scr" /f
- '<SYSTEM32>\attrib.exe' -R -H -S "%APPDATA%\Microsoft\Windows\smelt.scr"
- '<SYSTEM32>\attrib.exe' +R +H +S "%APPDATA%\Microsoft\Windows\smelt.scr"
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\4.dat
- %APPDATA%\3.dat
- %APPDATA%\2.dat
- %APPDATA%\5.dat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ver[1].php
- %APPDATA%\newzip.dat
- %APPDATA%\gigadrv.dll
- %APPDATA%\commtel32.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ver[1].php
- <SYSTEM32>\duco.exe
- %APPDATA%\1.dat
- %APPDATA%\0.dat
- %APPDATA%\Microsoft\Windows\smelt.scr
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\gigadrv.dll
- %APPDATA%\newzip.dat
- %APPDATA%\Microsoft\Windows\smelt.scr
- %APPDATA%\commtel32.exe
- <SYSTEM32>\duco.exe
Сетевая активность:
Подключается к:
- 'ku###nikus.info':80
TCP:
Запросы HTTP GET:
- ku###nikus.info/a/b/ver.php
UDP:
- DNS ASK ku###nikus.info
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
