Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Extensions\{BFFEA778-0958-11DC-BEC1-5AAB56D89593}] 'Exec' = 'http://housecallsniagara.googlepages.com'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HousecallsMaintenanceReminder' = '%PROGRAM_FILES%\housecalls\HousecallsMaintenanceReminder.exe'
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\HousecallsMaintenanceReminder.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\Housecalls\ReplaceHousecallsMaintenance.exe
- %PROGRAM_FILES%\Housecalls\HousecallsMaintenance.exe
- %PROGRAM_FILES%\Housecalls\ReplaceHousecallsMaintenance.exe (загружен из сети Интернет)
Запускает на исполнение:
- %WINDIR%\regedit.exe /s %TEMP%\ietoolbarbutton.reg
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\ietoolbarbutton.reg
- %TEMP%\autC.tmp
- %TEMP%\autD.tmp
- %TEMP%\autB.tmp
- %CommonProgramFiles%\Microsoft Shared\LargeThrobber.bmp
- %TEMP%\autA.tmp
- %CommonProgramFiles%\Microsoft Shared\SmallThrobber.bmp
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Housecalls Maintenance.lnk
- %TEMP%\LastHMupdate.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ReplaceHousecallsMaintenance[1].exe
- %PROGRAM_FILES%\Housecalls\ReplaceHousecallsMaintenance.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\LastHMupdate[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\checkip.dyndns[1].4775403354
- %TEMP%\~ip.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\whatismyip[1].0003004593
- %TEMP%\aut9.tmp
- %PROGRAM_FILES%\Housecalls\HousecallsMaintenance.exe
- %ALLUSERSPROFILE%\Desktop\Weekly Housecalls Maintenance.lnk
- %TEMP%\aut3.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %TEMP%\splash.gif
- %TEMP%\aut4.tmp
- <SYSTEM32>\oemlogo.bmp
- %TEMP%\aut8.tmp
- <SYSTEM32>\oeminfo.ini
- %TEMP%\aut7.tmp
- %TEMP%\aut5.tmp
- %TEMP%\aut6.tmp
- %WINDIR%\wget.exe
Удаляет следующие файлы:
- %TEMP%\autA.tmp
- %TEMP%\autB.tmp
- %TEMP%\aut8.tmp
- %TEMP%\aut9.tmp
- %TEMP%\~ip.tmp
- %TEMP%\~DF755D.tmp
- %TEMP%\autC.tmp
- %TEMP%\autD.tmp
- %TEMP%\aut7.tmp
- %TEMP%\~DF4175.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\HousecallsMaintenanceReminder.lnk
- %TEMP%\aut6.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut5.tmp
Сетевая активность:
Подключается к:
- 'www.ho#####llsniagara.com':80
- 'www.wh###smyip.com':80
- 'ch####p.dyndns.org':80
TCP:
Запросы HTTP GET:
- www.ho#####llsniagara.com/LastHMupdate.txt
- www.ho#####llsniagara.com/ReplaceHousecallsMaintenance.exe
- ch####p.dyndns.org/?rn#########################################
- www.wh###smyip.com/?rn#########################################
UDP:
- DNS ASK www.ho#####llsniagara.com
- DNS ASK www.wh###smyip.com
- DNS ASK ch####p.dyndns.org
Другое:
Ищет следующие окна:
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
