Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svchost' = '%WINDIR%\svchost.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Создает и запускает на исполнение:
- %TEMP%\update.exe
- %TEMP%\update.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\netsh.exe firewall set opmode Disable
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\vixlkwr
- %TEMP%\aut8.tmp
- %TEMP%\aut7.tmp
- %TEMP%\aut6.tmp
- <SYSTEM32>\76787789\dost.a3x
- %TEMP%\aut9.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\mgr[1].lua
- %WINDIR%\mgr.lua
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\full.crackidm[1]
- <SYSTEM32>\config1.sys
- %TEMP%\RecursivOutput.txt
- <SYSTEM32>\autoexec1.bat
- %TEMP%\update.exe
- %TEMP%\aut2.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\svchost[1].gif
- %TEMP%\aut1.tmp
- %TEMP%\rtjkbdt
- <SYSTEM32>\76787789\chup.a3x
- %TEMP%\bwetzdq
- %TEMP%\aut5.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut3.tmp
- <SYSTEM32>\76787789\down.a3x
Удаляет следующие файлы:
- %TEMP%\aut8.tmp
- %TEMP%\aut9.tmp
- %TEMP%\aut7.tmp
- %TEMP%\vixlkwr
- <SYSTEM32>\76787789\dost.a3x
- %TEMP%\RecursivOutput.txt
- <SYSTEM32>\76787789\chup.a3x
- <SYSTEM32>\76787789\down.a3x
- %TEMP%\aut2.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut1.tmp
- %TEMP%\rtjkbdt
- %TEMP%\aut5.tmp
- %TEMP%\aut6.tmp
- %TEMP%\aut4.tmp
- %TEMP%\bwetzdq
Сетевая активность:
Подключается к:
- 'fu##.#rackidm.com':80
- 'my#######t-ck002.googlecode.com':80
- 'pl####skiemthe.info':80
- 'localhost':1038
TCP:
Запросы HTTP GET:
- my#######t-ck002.googlecode.com/files/mgr.lua
- fu##.#rackidm.com/
- pl####skiemthe.info/svchost.gif
UDP:
- DNS ASK my#######t-ck002.googlecode.com
- DNS ASK fu##.#rackidm.com
- DNS ASK pl####skiemthe.info
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
