Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\NetDDEser] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Evntconnections] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\inf\sc.exe start Evntconnections
- %WINDIR%\inf\svchost.exe
- %WINDIR%\inf\NTsvchost.exe
Запускает на исполнение:
- <SYSTEM32>\sc.exe create NetDDEser BinPath= %WINDIR%\inf\WINNET type= own type= interact start= auto DisplayName= "Network DDE ser"
- <SYSTEM32>\sc.exe delete NetDDEser
- <SYSTEM32>\cmd.exe /c %WINDIR%\inf\bfdde.bat
- <SYSTEM32>\sc.exe description NetDDEser "???????????????????????????? (DDE) ?????????"
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://wi####8.vicp.net/bfup.jpg
- <SYSTEM32>\wscript.exe "%WINDIR%\inf\IExp.vbs"
- <SYSTEM32>\cmd.exe /c %WINDIR%\inf\svc.bat
- <SYSTEM32>\sc.exe stop Evntconnections
- <SYSTEM32>\cmd.exe /c %WINDIR%\inf\bfbf.bat
- <SYSTEM32>\cmd.exe /c <Текущая директория>\tmp.bat
- <SYSTEM32>\sc.exe delete Evntconnections
- <SYSTEM32>\sc.exe start Evntconnections
- <SYSTEM32>\sc.exe description Evntconnections "?????????????????????,???????,??????????"
- <SYSTEM32>\sc.exe create Evntconnections BinPath= %WINDIR%\inf\NTsvchost.exe type= own type= interact start= auto DisplayName= "Evnt connections"
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\inf\svc.bat
- %WINDIR%\inf\bfdde.bat
- %WINDIR%\inf\bfbf.bat
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\bfup[1].jpg
- C:\Documents and Settings\LocalService\Favorites\Desktop.ini
- %WINDIR%\inf\IExp.vbs
- %WINDIR%\inf\svchost.exe
- %WINDIR%\inf\NTsvchost.exe
- <Текущая директория>\tmp.bat
- <Текущая директория>\NTSVC.ocx
- %WINDIR%\inf\sc.exe
- %WINDIR%\inf\NTSVC.ocx
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Documents and Settings\LocalService\Favorites\Desktop.ini
Удаляет следующие файлы:
- %WINDIR%\Temp\~DFFB8C.tmp
- %WINDIR%\Temp\~DF27B6.tmp
- %WINDIR%\Temp\~DF482D.tmp
- %WINDIR%\Temp\~DF756C.tmp
- %WINDIR%\Temp\~DFA4BD.tmp
- %WINDIR%\Temp\~DFC95D.tmp
- %WINDIR%\Temp\~DFCF85.tmp
- %WINDIR%\Temp\~DFF7D6.tmp
- %WINDIR%\Temp\~DFF4B.tmp
- %WINDIR%\Temp\~DF65CD.tmp
- %WINDIR%\Temp\~DFBECD.tmp
- %WINDIR%\Temp\~DFC240.tmp
- %WINDIR%\Temp\~DF43B4.tmp
- %WINDIR%\Temp\~DF4059.tmp
- %WINDIR%\Temp\~DF3A06.tmp
- %WINDIR%\Temp\~DF5D3C.tmp
- <Текущая директория>\NTSVC.ocx
- %TEMP%\~DFFDF0.tmp
- %WINDIR%\Temp\~DF3C7F.tmp
- %WINDIR%\inf\IExp.vbs
- %WINDIR%\Temp\~DFF8FC.tmp
- %WINDIR%\Temp\~DF288A.tmp
- %WINDIR%\Temp\~DF8075.tmp
- %WINDIR%\Temp\~DFCF42.tmp
- %WINDIR%\Temp\~DFE886.tmp
Самоперемещается:
- из <Полный путь к вирусу> в <Текущая директория>\tmp.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'wi####8.vicp.net':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- wi####8.vicp.net/bfup.jpg
UDP:
- DNS ASK wi####8.vicp.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: '??????'
- ClassName: '' WindowName: '?????'
- ClassName: '' WindowName: 'NX??????'
