Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%.exe
- C:\Documents and Settings\NetworkService\Favorites\Desktop.ini
- C:\System Volume Information.exe
- C:\RECYCLER.exe
- <Служебный элемент>
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\8JWF0D27\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\9UHL7Y8E\aa[1].txt
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\TWXTHX72\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\9UHL7Y8E\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\GXAVOPYN\desktop.ini
- %PROGRAM_FILES%.exe
- <SYSTEM32>\system.exe
- <SYSTEM32>\svhost.exe
- %WINDIR%\Driver.db
- %WINDIR%\Tasks\At1.job
- C:\Far2.exe
- C:\<Служебное имя>.exe
- C:\Documents and Settings.exe
- C:\startup.exe
- <Текущая директория>.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
Создает и запускает на исполнение:
- '<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copyc:\RECYCLER.exe
- '<SYSTEM32>\system.exe' copyc:\RECYCLER.exe
- '<SYSTEM32>\system.exe' copy%PROGRAM_FILES%.exe
- '<SYSTEM32>\system.exe' copyc:\<Служебное имя>.exe
- '<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copy%PROGRAM_FILES%.exe
- '<SYSTEM32>\commander.exe' <Служебный элемент>
- '<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copy%WINDIR%.exe
- '<SYSTEM32>\system.exe' copy%WINDIR%.exe
- '<SYSTEM32>\system.exe' copyc:\System Volume Information.exe
- '<SYSTEM32>\system.exe' <Служебный элемент>
- '<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copyc:\System Volume Information.exe
- '<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copyc:\<Служебное имя>.exe
- '<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copy\startup.exe
- '<SYSTEM32>\system.exe' copy\startup.exe
- '%WINDIR%\svhost.exe'
- '<SYSTEM32>\commander.exe' /C at 9:00 /interactive %WINDIR%\svhost.exe
- '<SYSTEM32>\commander.exe' /C schtasks /run /tn at1
- '<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copy<Текущая директория>.exe
- '<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copyc:\Far2.exe
- '<SYSTEM32>\system.exe' copyc:\Far2.exe
- '<SYSTEM32>\system.exe' copyc:\Documents and Settings.exe
- '<SYSTEM32>\system.exe' copy<Текущая директория>.exe
- '<SYSTEM32>\commander.exe' /C <SYSTEM32>\system.exe copyc:\Documents and Settings.exe
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /run /tn at1
- '<SYSTEM32>\at.exe' 9:00 /interactive %WINDIR%\svhost.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\commander.exe
- %WINDIR%\svhost.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\GXAVOPYN\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\TWXTHX72\desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\8JWF0D27\desktop.ini
- %WINDIR%\svhost.exe
- C:\Documents and Settings\NetworkService\Favorites\Desktop.ini
- C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\9UHL7Y8E\desktop.ini
Удаляет следующие файлы:
- %WINDIR%\Tasks\SA.DAT
- %WINDIR%\Tasks\desktop.ini
Сетевая активность:
Подключается к:
- 'in#####e.freevnn.com':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- in#####e.freevnn.com/aa.txt
UDP:
- DNS ASK in#####e.freevnn.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
