Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'linkplus' = '"<LS_APPDATA>\Microsoft\Windows linkplus\linkpluscfg.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\enlog_brown.exe (загружен из сети Интернет)
- <LS_APPDATA>\Microsoft\Windows linkplus\linkplus.exe
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c \DelUS.bat
- <SYSTEM32>\cmd.exe /c del.bat
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Desktop\Gё¶ДП - »х·Оїо јј»уА» ї©ґВ №®, Gё¶ДП.url
- %HOMEPATH%\Favorites\Gё¶ДП - »х·Оїо јј»уА» ї©ґВ №®, Gё¶ДП.url
- <LS_APPDATA>\Microsoft\Windows linkplus\mmc_wlp\Gё¶ДП - »х·Оїо јј»уА» ї©ґВ №®, Gё¶ДП.datx
- <LS_APPDATA>\Microsoft\Windows linkplus\mmc_wlp\јоЗО ЅєЖ®ё®Ж®, 11№ш°Ў.datx
- <LS_APPDATA>\Microsoft\Windows linkplus\mmc_wlp\ґзЅЕАМ ГЈґВ ёрµз ЅєЕёАП, їБјЗ.datx
- %HOMEPATH%\Desktop\јоЗО ЅєЖ®ё®Ж®, 11№ш°Ў.url
- %HOMEPATH%\Favorites\јоЗО ЅєЖ®ё®Ж®, 11№ш°Ў.url
- %HOMEPATH%\Favorites\±вґл ±Ч АМ»уАЗ °ЎДЎ! ·ФµҐИЁјоЗО!.url
- <SYSTEM32>\enlog_brown.exe
- %TEMP%\nsh2.tmp\SelfDelete.dll
- C:\DelUS.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\enlog_brown[1]._log
- <LS_APPDATA>\Microsoft\Windows linkplus\mmc_wlp\±вґл ±Ч АМ»уАЗ °ЎДЎ! ·ФµҐИЁјоЗО!.datx
- <LS_APPDATA>\Microsoft\Windows linkplus\del.bat
- %TEMP%\nsh2.tmp\inetc.dll
- %HOMEPATH%\Favorites\ґзЅЕАМ ГЈґВ ёрµз ЅєЕёАП, їБјЗ.url
- <LS_APPDATA>\Microsoft\Windows linkplus\linkplus.exe
- <LS_APPDATA>\Microsoft\Windows linkplus\linkpluscfg.exe
- <LS_APPDATA>\Microsoft\Windows linkplus\11market.ico
- %TEMP%\nsh2.tmp\DLLWaitForKillProgram.dll
- %TEMP%\nsisos.dll
- %TEMP%\nsh2.tmp\System.dll
- %TEMP%\nsh2.tmp\KillProcDLL.dll
- <LS_APPDATA>\Microsoft\Windows linkplus\auction.ico
- <LS_APPDATA>\Microsoft\Windows linkplus\mmc_wlp\Desktop.ini
- <LS_APPDATA>\Microsoft\Windows linkplus\mmc_wlp\Links\Windows Marketplace.url
- %HOMEPATH%\Desktop\ґзЅЕАМ ГЈґВ ёрµз ЅєЕёАП, їБјЗ.url
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\count_ezlink[1].php
- <LS_APPDATA>\Microsoft\Windows linkplus\default.ico
- <LS_APPDATA>\Microsoft\Windows linkplus\gmarket.ico
- %TEMP%\nsh2.tmp\DLLWebCount.dll
Удаляет следующие файлы:
- %TEMP%\nsh2.tmp\KillProcDLL.dll
- %TEMP%\nsh2.tmp\inetc.dll
- %TEMP%\nsh2.tmp\System.dll
- %TEMP%\nsh2.tmp\SelfDelete.dll
- %TEMP%\nsh2.tmp\DLLWebCount.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\count_ezlink[1].php
- %TEMP%\nsisos.dll
- %TEMP%\nsh2.tmp\DLLWaitForKillProgram.dll
- <LS_APPDATA>\Microsoft\Windows linkplus\linkplus.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'fi##.#nlog.co.kr':80
- 'ez##ink.kr':80
TCP:
Запросы HTTP GET:
- fi##.#nlog.co.kr/linkplus/enlog_brown._log
- ez##ink.kr/nlog/count_ezlink.php?ki####################
UDP:
- DNS ASK fi##.#nlog.co.kr
- DNS ASK ez##ink.kr
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
