Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '503c60ff1f61772afa8ee5e2a5aca3c5' = '"<SYSTEM32>.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '503c60ff1f61772afa8ee5e2a5aca3c5' = '"<SYSTEM32>.exe" ..'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<SYSTEM32>.exe' = '<SYSTEM32>.exe:*:Enabled:system32.exe'
Создает и запускает на исполнение:
- '%TEMP%\win.exe'
- '%TEMP%\nsk4.tmp\mism.exe' -ctid=CT3316226
- '<SYSTEM32>.exe'
- '%TEMP%\utorrentspeeduppro_setup.exe'
- '%TEMP%\seno.exe'
- '<SYSTEM32>\1.exe'
- '%TEMP%\nsk4.tmp\mism.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "<SYSTEM32>.exe" "system32.exe" ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\version[1].php
- %TEMP%\nsk4.tmp\temp.txt
- %TEMP%\nsk4.tmp\modern-wizard.bmp
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new
- %TEMP%\nsk4.tmp\p2p-toolbar-screenshot.bmp
- <SYSTEM32>.exe
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\BiTool[1].dll
- %TEMP%\bitool.xxx
- %TEMP%\nsk4.tmp\nsDialogs.dll
- %TEMP%\nsk4.tmp\md5dll.dll
- %TEMP%\nsk4.tmp\System.dll
- %TEMP%\nsk4.tmp\Banner.dll
- %TEMP%\nsk4.tmp\Math.dll
- %TEMP%\nsk4.tmp\setup.ini
- %TEMP%\aut5.tmp
- <SYSTEM32>\1.exe
- %TEMP%\aut6.tmp
- %TEMP%\nsk4.tmp\inetc.dll
- %TEMP%\utorrentspeeduppro_setup.exe
- %TEMP%\seno.exe
- %TEMP%\nsz3.tmp
- %TEMP%\HVMRuntm.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mism[1].exe
- %TEMP%\nsk4.tmp\mism.exe
- %TEMP%\aut8.tmp
- <SYSTEM32>\HVMRuntm.dll
- %TEMP%\aut7.tmp
- %TEMP%\win.exe
Удаляет следующие файлы:
- %TEMP%\aut7.tmp
- %TEMP%\aut8.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut6.tmp
Перемещает следующие файлы:
- %TEMP%\bitool.xxx в %TEMP%\bitool.dll
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch
Сетевая активность:
Подключается к:
- 'bi####121.no-ip.org':8553
- 'ns##.bisrv.com':80
- 'cd#.#isrv.com':80
- 'ge#.##ilyads.org':80
- 'da###ads.org':80
TCP:
Запросы HTTP GET:
- cd#.#isrv.com/sdk/binsis/2.1/BiTool.dll
- ns##.bisrv.com/binsis/get_pre_offering_checks?ui###################################################################################
- ge#.##ilyads.org/mism.exe
- da###ads.org/version/version.php?id####
UDP:
- DNS ASK bi####121.no-ip.org
- DNS ASK ns##.bisrv.com
- DNS ASK cd#.#isrv.com
- DNS ASK ge#.##ilyads.org
- DNS ASK da###ads.org
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: '#32770' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
