Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\ntsvc] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\W3SVC] 'Start' = '00000000'
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\firedaemon.exe
- %WINDIR%\svchost.exe -opt
- %WINDIR%\svchost.exe
- %WINDIR%\firedaemon.exe -i ntsvc "%WINDIR%" "%WINDIR%\svchost.exe" "-opt" Y 0 0 N Y
- %TEMP%\pft3.tmp\setupgen.exe
- %TEMP%\pft3.tmp\reg.exe import noiis.reg
- %TEMP%\pft3.tmp\reg.exe import gen.reg
Запускает на исполнение:
- <SYSTEM32>\net1.exe start ntsvc
- <SYSTEM32>\cmd.exe /c ""%TEMP%\pft3.tmp\setup.bat""
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\gen.reg
- %WINDIR%\drone.dat
- %WINDIR%\cygwin1.dll
- %WINDIR%\svchost.exe
- %WINDIR%\testsrv.exe
- %WINDIR%\servers
- %WINDIR%\nick
- %TEMP%\pft3.tmp\NULL
- %WINDIR%\user
- %WINDIR%\cygtcl80.dll
- %WINDIR%\nickpool
- %WINDIR%\port
- %WINDIR%\echo.exe
- %TEMP%\WERbc1f.dir00\FireDaemon.EXE.mdmp
- %WINDIR%\pid.drone
- %WINDIR%\drone2.dat
- %TEMP%\WERbc1f.dir00\manifest.txt
- %TEMP%\WERbc1f.dir00\appcompat.txt
- %TEMP%\WERbc1f.dir00\FireDaemon.EXE.hdmp
- %WINDIR%\cygintl.dll
- %WINDIR%\ncx99.exe
- %WINDIR%\firedaemon.exe
- %WINDIR%\drone3.dat
- %WINDIR%\NULL
- %WINDIR%\wget.exe
- %TEMP%\pft3.tmp\firedaemon.exe
- %TEMP%\pft3.tmp\echo.exe
- %TEMP%\pft3.tmp\drone.dat
- %TEMP%\pft3.tmp\ncx99.exe
- %TEMP%\pft3.tmp\gen.reg
- %TEMP%\pft3.tmp\fix.bat
- %TEMP%\pft3.tmp\pftw1.pkg
- %TEMP%\plf1.tmp
- %TEMP%\ext2.tmp
- %TEMP%\pft3.tmp\cygwin1.dll
- %TEMP%\pft3.tmp\cygtcl80.dll
- %TEMP%\pft3.tmp\cygintl.dll
- %TEMP%\pft3.tmp\nickpool
- %TEMP%\pft3.tmp\wget.exe
- %TEMP%\pft3.tmp\tmpx
- %TEMP%\pft3.tmp\testsrv.exe
- %TEMP%\pft3.tmp\user
- %TEMP%\pft3.tmp\nick
- %TEMP%\pft3.tmp\port
- %TEMP%\pft3.tmp\servers
- %TEMP%\pft3.tmp\reg.exe
- %TEMP%\pft3.tmp\noiis.reg
- %TEMP%\pft3.tmp\svchost.exe
- %TEMP%\pft3.tmp\setupgen.exe
- %TEMP%\pft3.tmp\setup.bat
Удаляет следующие файлы:
- %TEMP%\pft3.tmp\port
- %TEMP%\pft3.tmp\reg.exe
- %TEMP%\pft3.tmp\servers
- %TEMP%\pft3.tmp\nickpool
- %TEMP%\pft3.tmp\noiis.reg
- %TEMP%\pft3.tmp\NULL
- %TEMP%\pft3.tmp\setup.bat
- %TEMP%\pft3.tmp\tmpx
- %TEMP%\pft3.tmp\user
- %TEMP%\pft3.tmp\wget.exe
- %TEMP%\pft3.tmp\setupgen.exe
- %TEMP%\pft3.tmp\svchost.exe
- %TEMP%\pft3.tmp\testsrv.exe
- %TEMP%\pft3.tmp\cygintl.dll
- %TEMP%\pft3.tmp\cygtcl80.dll
- %TEMP%\pft3.tmp\cygwin1.dll
- %TEMP%\ext2.tmp
- %TEMP%\pft3.tmp\pftw1.pkg
- %TEMP%\plf1.tmp
- %TEMP%\pft3.tmp\drone.dat
- %TEMP%\pft3.tmp\gen.reg
- %TEMP%\pft3.tmp\ncx99.exe
- %TEMP%\pft3.tmp\nick
- %TEMP%\pft3.tmp\echo.exe
- %TEMP%\pft3.tmp\firedaemon.exe
- %TEMP%\pft3.tmp\fix.bat
Сетевая активность:
Подключается к:
- 'localhost':1055
- 'localhost':1057
- 'localhost':1051
- 'localhost':1053
- 'localhost':1063
- 'localhost':1065
- 'localhost':1059
- 'localhost':1061
- 'localhost':1039
- 'localhost':1041
- 'la#.ath.cx':6667
- 'localhost':1037
- 'localhost':1047
- 'localhost':1049
- 'localhost':1043
- 'localhost':1045
UDP:
- DNS ASK la#.ath.cx
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
