Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\userinit.exe,%WINDIR%\test\svchost.exe'
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{88RT8-U084T6Q-B9Q96-PDG1KN-1CKWCELQV}] 'StubPath' = '%WINDIR%\test\svchost.exe Restart'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'msnmsgsr' = '%WINDIR%\test\svchost.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\sr] 'Start' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\srservice] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Создает и запускает на исполнение:
- %WINDIR%\test\svchost.exe
Запускает на исполнение:
- <SYSTEM32>\ping.exe 127.0.0.1 -n 10
- <SYSTEM32>\cmd.exe /c ""<SYSTEM32>\_dcsc_.bat" "
- <SYSTEM32>\wscript.exe "<SYSTEM32>\Script.vbs"
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-21-1275210071-117609710-1801674531-500
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_NTUSER_S-1-5-21-1275210071-117609710-1801674531-500
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-20
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_.DEFAULT
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_MACHINE_SYSTEM
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_MACHINE_SOFTWARE
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_MACHINE_SECURITY
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_NTUSER_S-1-5-20
- %TEMP%\WININIT
- %TEMP%\USEPASS
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\rp.log
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_NTUSER_S-1-5-18
- %TEMP%\Y!SUPRA.EXE
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-19
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_NTUSER_S-1-5-19
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\change.log
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\MAPPING2.MAP
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\MAPPING1.MAP
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\OBJECTS.DATA
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\RestorePointSize
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\OBJECTS.MAP
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\A0000001.vbs
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\MAPPING.VER
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\domain.txt
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\ComDb.Dat
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_MACHINE_SAM
- <SYSTEM32>\_dcsc_.bat
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\INDEX.MAP
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\INDEX.BTR
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\$WinMgmt.CFG
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\_driver.cfg
- %TEMP%\HKNAME
- %TEMP%\GENCODE
- %TEMP%\FULLPATH
- %TEMP%\HKT
- %TEMP%\ISACTIVX
- %TEMP%\IMIN
- %TEMP%\IMAX
- %TEMP%\FILEATTRIB
- <SYSTEM32>\Script.vbs
- %TEMP%\gg.ico
- C:\www.google.com.htm
- %WINDIR%\test\svchost.exe
- %TEMP%\DVCLAL
- %TEMP%\DIRATTRIB
- %TEMP%\ACTIVXNAME
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\drivetable.txt
- <SYSTEM32>\Restore\MachineGuid.txt
- %TEMP%\PASS
- %TEMP%\PREFIXTYPE
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\_filelst.cfg
- %TEMP%\USEMUTEX
- %TEMP%\SERVERID
- %TEMP%\PACKAGEINFO
- %TEMP%\KEYLOGGER
- %TEMP%\ISHK
- %TEMP%\ISBIND
- %TEMP%\M3
- %TEMP%\NETDATA
- %TEMP%\MUTEXNAME
- %TEMP%\MELT
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\test\svchost.exe
- C:\www.google.com.htm
Удаляет следующие файлы:
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_.DEFAULT
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_NTUSER_S-1-5-18
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_NTUSER_S-1-5-19
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_MACHINE_SYSTEM
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_MACHINE_SAM
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_MACHINE_SECURITY
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_MACHINE_SOFTWARE
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_NTUSER_S-1-5-20
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\_driver.cfg
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\_filelst.cfg
- <SYSTEM32>\Restore\MachineGuid.txt
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-21-1275210071-117609710-1801674531-500
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_NTUSER_S-1-5-21-1275210071-117609710-1801674531-500
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-19
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\_REGISTRY_USER_USRCLASS_S-1-5-20
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\rp.log
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\ComDb.Dat
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\domain.txt
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\RestorePointSize
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\drivetable.txt
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\A0000001.vbs
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\change.log.1
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\$WinMgmt.CFG
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\MAPPING2.MAP
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\OBJECTS.DATA
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\OBJECTS.MAP
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\MAPPING1.MAP
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\INDEX.BTR
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\INDEX.MAP
- C:\System Volume Information\_restore{E9F1FFFA-7940-4ABA-BEC6-8E56211F48E2}\RP1\snapshot\Repository\FS\MAPPING.VER
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ys##ra.net':80
- 'sh####r1.no-ip.biz':1604
TCP:
Запросы HTTP GET:
- ys##ra.net/ysupra_update/version.php?ve##############
UDP:
- DNS ASK ys##ra.net
- DNS ASK sh####r1.no-ip.biz
Другое:
Ищет следующие окна:
- ClassName: 'winamp v1.x' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
