Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet002\Control\Session Manager] 'BootExecute' = ''
- [<HKLM>\SYSTEM\ControlSet001\Control\Session Manager] 'BootExecute' = ''
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'GbpSv' = '%WINDIR%\system\Plugin.exe'
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\startt.job
- %WINDIR%\Tasks\balada.job
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\kss.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\system\Plugin.exe' = '%WINDIR%\system\Plugin.exe:*:Enabled:RPCCC'
Создает и запускает на исполнение:
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\SPCSSSH2.DLL
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\ssh*.*
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\Scpad\*ssh*.*
- <SYSTEM32>\kill.exe /Y c:\windwos\system32\*SPCSSSH2*.*
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbPlugin\gbieh*.*
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbPlugin\*gbieh*.*
- <SYSTEM32>\kill.exe /Y c:\windwos\system32\SPCSSSH2*.*
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\Scpad\ssh*.*
- <SYSTEM32>\kill.exe /Y c:\windwos\system32\snagos.exe
- <SYSTEM32>\kill.exe /Y c:\windwos\system32\snengine.exe
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbPlugin\*g*.*
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\Scpad\*scp*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\*ATM*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\ATM*.*
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\Scpad\scp*.*
- <SYSTEM32>\kill.exe /Y <SYSTEM32>\scpsssh2.dll,gbiehuni.dll,GBIEHCEF.DLL,scpVista.exe,gbiehabn.dll,GBIEHABN.DLL,Logof.dll,abn.gpc,AtmCap.ocx,gbpsv.exe
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\*SECURE*.*
- <SYSTEM32>\kill.exe /Y c:\windwos\system32\GBPLUGIN*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\GBPLUGIN*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\SECURE*.*
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbPlugin\??
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\??
- <SYSTEM32>\kill.exe /Y <SYSTEM32>\*logof*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\*GBPLUGIN*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\gbiehcef.dll,gbiehuni.dll,gbieh.dll,bb.gpc,cef.gpc,gbieh.gmd,isg.gpc,uni.gpc
- <SYSTEM32>\kill.exe /Y <SYSTEM32>\gbiehcef.dll,gbiehuni.dll,gbieh.dll,bb.gpc,cef.gpc,gbieh.gmd,isg.gpc,uni.gpc
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbPlugin\gbiehcef.dll,gbiehuni.dll,gbieh.dll,bb.gpc,cef.gpc,gbieh.gmd,isg.gpc,uni.gpc
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\Scpad\sshib.dll,scpLIB.dll,scpMIB.dll,scpsssh2.dll,scpIBCfg.bin
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\scpsssh2.dll,gbiehuni.dll,gbpdist.dll,isg.gpc,uni.gpc,gbiehisg.dll,GBIEHCEF.DLL,scpVista.exe,gbiehabn.dll,GBIEHABN.DLL,LOGOF.DLL,abn.gpc,AtmCap.ocx,gbpsv.exe
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\sshib.dll,scpLIB.dll,scpMIB.dll,scpsssh2.dll,scpIBCfg.bin
- <SYSTEM32>\kill.exe /Y <SYSTEM32>\sshib.dll,scpLIB.dll,scpMIB.dll,scpsssh2.dll,scpIBCfg.bin
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbPlugin\g*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\g*.*
- <SYSTEM32>\kill.exe /Y c:\winnt\downlo~1\*.g??
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbPlugin\*.exe
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbPlugin\*.gmd
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbPlugin\*.gpc
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbPlugin\*.dll
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\*.g??
- <SYSTEM32>\kill.exe /Y C:\Arquivos de programas\GBPLUGIN\gbieh.dll
- <SYSTEM32>\kill.exe /Y C:\Arquivos de programas\GBPLUGIN\bb.gpc
- <SYSTEM32>\kill.exe /Y C:\Arquivos de programas\GBPLUGIN\gbpsv.exe
- <SYSTEM32>\kill.exe /Y C:\Arquivos de programas\GBPLUGIN\gbieh.gmd
- <SYSTEM32>\kill.exe /Y c:\winnt\downlo~1\gb*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\gb*.*
- <SYSTEM32>\kill.exe /Y C:\Arquivos de programas\GBPLUGIN\gbpdist.dll
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\*gb*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\*scp*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\scp*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\*UNI*.*
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbPlugin\*gb*.*
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbPlugin\gb*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\UNI*.*??
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\GBPDIST.DLL
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\*.*
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\Scpad\*.dll
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\GbP*.*
- <SYSTEM32>\kill.exe /Y c:\winnt\downlo~1\*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\*ABN*.*
- <SYSTEM32>\kill.exe /Y %WINDIR%\Downloaded Program Files\ABN*.*
- <SYSTEM32>\kill.exe /Y c:\arquiv~1\Scpad\*.bin
- <SYSTEM32>\kill.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\sc.exe config GbpSv start= disabled
- <SYSTEM32>\sc.exe stop GbpSv
- <SYSTEM32>\net.exe stop GbpSv
- <SYSTEM32>\net1.exe stop GbpSv
- <SYSTEM32>\net1.exe start GbpSv
- <SYSTEM32>\cmd.exe /c c:\autoexec.bat
- <SYSTEM32>\reg.exe add "HKLM\SYSTEM\CurrentControlSet\Control\Session manager" /v BootExecute /t REG_MULTI_SZ /d "autocheck autochk *" /f
- <SYSTEM32>\schtasks.exe /create /tn startt /tr c:\start.bat /sc onstart /ru system
- <SYSTEM32>\schtasks.exe /create /tn balada /tr c:\autoexec.bat /sc onstart /ru system
- <SYSTEM32>\netsh.exe firewall add allowedprogram %WINDIR%\system\Plugin.exe RPCCC
- <SYSTEM32>\reg.exe add "HKLM\SYSTEM\ControlSet002\Control\Session manager" /v BootExecute /t REG_MULTI_SZ /d "autocheck autochk *" /f
- <SYSTEM32>\reg.exe add "HKLM\SYSTEM\ControlSet001\Control\Session manager" /v BootExecute /t REG_MULTI_SZ /d "autocheck autochk *" /f
- <SYSTEM32>\sc.exe delete GbpSv
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\Partizan.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\Partizan[1].gif
- C:\start.bat
- C:\autoexec.bat
- <SYSTEM32>\Partizan.RRI
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tuto[1].gif
- %WINDIR%\system\Plugin.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\autochkk[1].gif
- <SYSTEM32>\kill.exe
Удаляет следующие файлы:
- <SYSTEM32>\Partizan.RRI
- <SYSTEM32>\Partizan.exe
Сетевая активность:
Подключается к:
- 'wo####.my-webs.org':80
- 'lu###reitas.org':80
- 'li####.iespana.es':80
- 'th###ndra.biz':80
- 'localhost':1038
TCP:
Запросы HTTP GET:
- lu###reitas.org/Partizan.gif
- wo####.my-webs.org/Lista/autochkk.gif
- li####.iespana.es/link3d/tuto.gif
Запросы HTTP POST:
- th###ndra.biz/site/imagem/php/index.php
UDP:
- DNS ASK wo####.my-webs.org
- DNS ASK lu###reitas.org
- DNS ASK th###ndra.biz
- DNS ASK li####.iespana.es
