Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\irc\Shell\open\command] '' = '"%WINDIR%\temp\spoolsv\spoolsv.exe" -noconnect'
- [<HKLM>\SOFTWARE\Classes\ChatFile\Shell\open\command] '' = '"%WINDIR%\temp\spoolsv\spoolsv.exe" -noconnect'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'spoolsv' = '"%WINDIR%\temp\spoolsv\spoolsv.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\Temp\spoolsv\spoolsv.exe'
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' +H +S %WINDIR%\temp\spoolsv
- '%WINDIR%\msagent\agentsvr.exe' -Embedding
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shimgvw.dll,ImageView_Fullscreen %WINDIR%\temp\spoolsv\xmas.JPG
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\temp\spoolsv\run.bat" "
- '%WINDIR%\regedit.exe' /s %WINDIR%\Temp\spoolsv\a.reg
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Recent\xmas.lnk
- %HOMEPATH%\Recent\spoolsv.lnk
- %WINDIR%\Temp\spoolsv\com.mrc
- %WINDIR%\Temp\spoolsv\fullname.txt
- %WINDIR%\Temp\spoolsv\s.mrc
- %WINDIR%\Temp\spoolsv\TMP4.$$$
- %WINDIR%\Temp\spoolsv\remote.ini
- %WINDIR%\Temp\spoolsv\TMP3.$$$
- %WINDIR%\Temp\spoolsv\TMP1.$$$
- %WINDIR%\Temp\spoolsv\TMP2.$$$
- %WINDIR%\Temp\spoolsv\xmas.JPG
- %WINDIR%\Temp\spoolsv\mirc.ico
- %WINDIR%\Temp\spoolsv\mirc.ini
- %WINDIR%\Temp\spoolsv\control.ini
- %WINDIR%\Temp\spoolsv\a.reg
- %WINDIR%\Temp\spoolsv\aliases.ini
- %WINDIR%\Temp\spoolsv\users.ini
- %WINDIR%\Temp\spoolsv\ident.txt
- %WINDIR%\Temp\spoolsv\spoolsv.exe
- %WINDIR%\Temp\spoolsv\run.bat
- %WINDIR%\Temp\spoolsv\servers.ini
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Temp\spoolsv\servers.ini
- %WINDIR%\Temp\spoolsv\run.bat
- %WINDIR%\Temp\spoolsv\users.ini
- %WINDIR%\Temp\spoolsv\spoolsv.exe
- %WINDIR%\Temp\spoolsv\mirc.ini
- %WINDIR%\Temp\spoolsv\aliases.ini
- %WINDIR%\Temp\spoolsv\a.reg
- %WINDIR%\Temp\spoolsv\mirc.ico
- %WINDIR%\Temp\spoolsv\control.ini
Удаляет следующие файлы:
- %WINDIR%\Temp\spoolsv\TMP3.$$$
- %WINDIR%\Temp\spoolsv\TMP4.$$$
- %WINDIR%\Temp\spoolsv\TMP1.$$$
- %WINDIR%\Temp\spoolsv\TMP2.$$$
Сетевая активность:
Подключается к:
- 'le######.nl.eu.undernet.org':6667
- '20#.#05.232.4':6667
UDP:
- DNS ASK Le######.NL.EU.UnderNet.Org
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: 'ShImgVw:CPreviewWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
