Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '0nZcIIrA.exe' = '"<LS_APPDATA>\9fjMCYFpHC\0nZcIIrA.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Command Processor] 'Autorun' = '"<LS_APPDATA>\9fjMCYFpHC\0nZcIIrA.exe"'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'cmd.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '0nZcIIrA.exe' = '"<LS_APPDATA>\9fjMCYFpHC\0nZcIIrA.exe"'
- [<HKCU>\Software\Microsoft\Command Processor] 'Autorun' = '"<LS_APPDATA>\9fjMCYFpHC\0nZcIIrA.exe"'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'cmd.exe'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- ecmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cwmxtmwwqj[1]
- %TEMP%\uzu9KRiw
- <Полный путь к вирусу>
- <LS_APPDATA>\9fjMCYFpHC\0nZcIIrA.exe
Удаляет следующие файлы:
- %TEMP%\uzu9KRiw
Сетевая активность:
Подключается к:
- 'cw###mwwqj.at':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- cw###mwwqj.at/?ma########################################################################################################################################################################################
UDP:
- DNS ASK cw###mwwqj.at
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'rwcobIcwujvbr '
- ClassName: '(null)' WindowName: 'qouAm '
- ClassName: '(null)' WindowName: 'K zgO'
- ClassName: '(null)' WindowName: 'B BZxvtxpp'
- ClassName: '(null)' WindowName: 'XBpKhECqfz M'
- ClassName: '(null)' WindowName: 'yHpilfivk'
- ClassName: '(null)' WindowName: 'r xnc'
- ClassName: '(null)' WindowName: 'qaUdcuuj a'
- ClassName: '(null)' WindowName: 'Mawq '
- ClassName: '(null)' WindowName: 'pgOQinddYK R '
- ClassName: '(null)' WindowName: 'GBlRsGu'
- ClassName: '(null)' WindowName: 'aW eTnhNe ft e'
- ClassName: '(null)' WindowName: ' sl ue oxpHHvL'
- ClassName: '(null)' WindowName: 'KDUHa'
- ClassName: '(null)' WindowName: 'bcWqcnclCu pfhpf'
- ClassName: '(null)' WindowName: 'pNuphc aQset'
- ClassName: '(null)' WindowName: 'Pvfww '
- ClassName: '(null)' WindowName: 'qhcwaqz'
- ClassName: '(null)' WindowName: 'elcjl qhuITce'
- ClassName: '(null)' WindowName: ' Nu fjlhshd'
- ClassName: '(null)' WindowName: 'urkuoqfvta Dvb'
- ClassName: '(null)' WindowName: 'dyvSySr Dqm'
- ClassName: '(null)' WindowName: 'uhFiu Vibbr '
- ClassName: '(null)' WindowName: 'zWaGsuumD'
- ClassName: '(null)' WindowName: 'Lu PIbqj'
- ClassName: '(null)' WindowName: 'w zh'
- ClassName: '(null)' WindowName: 'dMTBbbc '
- ClassName: '(null)' WindowName: 'npD'
- ClassName: '(null)' WindowName: 'zonwbRzl'
- ClassName: '(null)' WindowName: 'wL m'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'w NBCLeavoD'
- ClassName: '(null)' WindowName: 'XhUnmg w Jg'
- ClassName: '(null)' WindowName: 'uA zTP'
- ClassName: '(null)' WindowName: 'CbQrWd'
- ClassName: '(null)' WindowName: 'cdeBRtdwkQ'
- ClassName: '(null)' WindowName: 'am o tGqxDbn'
- ClassName: '(null)' WindowName: 'bqkeXV'
- ClassName: '(null)' WindowName: ' xjlYlLgQyyozpKf'
- ClassName: '(null)' WindowName: 'vy phf P'
- ClassName: '(null)' WindowName: 'Vcj'
- ClassName: '(null)' WindowName: 'bust Qy u w'
- ClassName: '(null)' WindowName: 'Mqy '
- ClassName: '(null)' WindowName: 'gpezu a g '
- ClassName: '(null)' WindowName: 'Dz'
- ClassName: '(null)' WindowName: 'amM'
- ClassName: '(null)' WindowName: 'fyipTxkO'
- ClassName: '(null)' WindowName: ' UXSsGJmpjzhY'
- ClassName: '(null)' WindowName: 'WwKgioib'
- ClassName: '(null)' WindowName: 'YMphFeBJnz'
- ClassName: '(null)' WindowName: 'AqfS'
- ClassName: '(null)' WindowName: 'c QsKw'
- ClassName: '(null)' WindowName: 'xgnnd'
- ClassName: '(null)' WindowName: 'ibxaCWg vs'
- ClassName: '(null)' WindowName: 'p Ai'
- ClassName: '(null)' WindowName: 'gCyboeOXzjdi '
- ClassName: '(null)' WindowName: 'xFieeqQkkul f'
- ClassName: '(null)' WindowName: ' YE ejTtzDL '
- ClassName: '(null)' WindowName: 'Mg bU'
- ClassName: '(null)' WindowName: 'Lvq qqGt'
- ClassName: '(null)' WindowName: 'ymntN'
- ClassName: '(null)' WindowName: 'riFlHsB '
- ClassName: '(null)' WindowName: 'hG V'
- ClassName: '(null)' WindowName: 'f qhfgaEz'
- ClassName: '(null)' WindowName: ' j QgRyDqTiw'
- ClassName: '(null)' WindowName: 'cb '
- ClassName: '(null)' WindowName: 'rtPosVfgol'
- ClassName: '(null)' WindowName: 'POv'
- ClassName: '(null)' WindowName: 'uzsefllz WiOauNcdv'
- ClassName: '(null)' WindowName: 'Lxoepd k'
- ClassName: '(null)' WindowName: 'Gq Kqc'
- ClassName: '(null)' WindowName: 'UvMzfm xVsn'
- ClassName: '(null)' WindowName: 'pvykxT '
- ClassName: '(null)' WindowName: 'mPt'
- ClassName: '(null)' WindowName: 'i De Wik'
- ClassName: '(null)' WindowName: 'dZvp b i'
- ClassName: '(null)' WindowName: ' udginpiDujO'
- ClassName: '(null)' WindowName: 'sFxyzRv'
- ClassName: '(null)' WindowName: ' FLrhLnjUoQ'
- ClassName: '(null)' WindowName: 'IocP '
- ClassName: '(null)' WindowName: 'Tqve'
- ClassName: '(null)' WindowName: 'mwzsXsRfSpgxA'
- ClassName: '(null)' WindowName: 'rgiuaG'
- ClassName: '(null)' WindowName: ' iMVHedkZQp'
- ClassName: '(null)' WindowName: 'UhKndml'
- ClassName: '(null)' WindowName: 'NkytyDGlv'
- ClassName: '(null)' WindowName: 'kxh'
- ClassName: '(null)' WindowName: 'ryfrhxymluPdgm'
- ClassName: '(null)' WindowName: 'zNreW'
- ClassName: '(null)' WindowName: 'zxV DzF SdjCtqe'
