Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'sys' = '%APPDATA%\Win32\System.exe -nogui'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\Win32\System.exe' = '%APPDATA%\Win32\System.exe:*:Enabled:System'
Создает и запускает на исполнение:
- '%APPDATA%\Win32\System.exe' -outid
- '%APPDATA%\Win32\System.exe' -nogui
- '%TEMP%\1.exe' "-p123a's;dlfkgjh)))"
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' -n 7 127.0.0.1
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "sys" /t REG_SZ /d "%APPDATA%\Win32\System.exe -nogui" /f
- '<SYSTEM32>\mode.com' con codepage select=1251
- '<SYSTEM32>\ping.exe' -n 3 127.0.0.1
- '<SYSTEM32>\wscript.exe' "%TEMP%\.vbs"
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\Win32\1.vbs" 1 enable
- '<SYSTEM32>\wscript.exe' "%TEMP%\s.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\s.vbe"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\test.bat" "
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\Win32\System.exe" System enable
- '<SYSTEM32>\attrib.exe' +s +h "%ALLUSERSPROFILE%\Application Data\AMMYY"
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\AMMYY\jt4
- %ALLUSERSPROFILE%\Application Data\AMMYY\jt
- %APPDATA%\Win32\System.log
- %TEMP%\.vbs
- %APPDATA%\Win32\sys32_nt.log
- %TEMP%\settings3.bin
- %TEMP%\1.exe
- %TEMP%\s.vbe
- %TEMP%\s.vbs
- %TEMP%\test.bat
- %TEMP%\System.exe
Удаляет следующие файлы:
- %TEMP%\.vbs
- %TEMP%\s.vbs
- %TEMP%\1.exe
- %TEMP%\s.vbe
Перемещает следующие файлы:
- %TEMP%\System.exe в %APPDATA%\Win32\System.exe
- %TEMP%\settings3.bin в %ALLUSERSPROFILE%\Application Data\AMMYY\settings3.bin
Сетевая активность:
Подключается к:
- 'sm##.rambler.ru':587
- 'rl.##myy.com':80
TCP:
Запросы HTTP POST:
- rl.##myy.com/
UDP:
- DNS ASK sm##.rambler.ru
- DNS ASK rl.##myy.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
