Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\ssst] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\AIS_2497_0.EXE
Запускает на исполнение:
- <SYSTEM32>\rundll32.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\nnno\fffg.dll
- %PROGRAM_FILES%\nnno\cccd.dll
- %PROGRAM_FILES%\nnno\tttu.dll
- %PROGRAM_FILES%\nnno\rrrs.ini
- %PROGRAM_FILES%\nnno\ddde.lex
- %PROGRAM_FILES%\nnno\aaab.dll
- %TEMP%\InsShell.exe
- %TEMP%\nse2.tmp
- %PROGRAM_FILES%\nnno\mmmn.ini
- %PROGRAM_FILES%\nnno\iiij.ini
- %PROGRAM_FILES%\nnno\xxxy.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\AIS_2497_0.EXE
Удаляет следующие файлы:
- C:\~de3.tmp
Перемещает следующие файлы:
- %TEMP%\AIS_2497_0.EXE в C:\~de3.tmp
- %TEMP%\InsShell.exe в %TEMP%\AIS_2497_0.EXE
Сетевая активность:
UDP:
- DNS ASK ca#.###lander.com.cn
- DNS ASK www.bo####der.com.cn
- DNS ASK up####.borlander.cn
Другое:
Ищет следующие окна:
- ClassName: '_stdup_cha_wnd_' WindowName: '_stdup_cha_wnd_'
- ClassName: '_std_ad_wnd_' WindowName: '_std_ad_wnd_'
