Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '' = '%HOMEPATH%\Local Settings\Hewlett-Packard\app.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] '' = '%HOMEPATH%\Local Settings\Microsoft\Windows Live\winhelp.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'appnh' = '%HOMEPATH%\Local Settings\Hewlett-Packard\app.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'NotePad' = '%HOMEPATH%\Local Settings\Microsoft\notepad.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\88771.exe
- %HOMEPATH%\Start Menu\Programs\Startup\86514.exe
- %HOMEPATH%\Start Menu\Programs\Startup\22874.scr
- %HOMEPATH%\Start Menu\Programs\Startup\<Имя вируса>.exe
- %HOMEPATH%\Start Menu\Programs\Startup\11582.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Редактора реестра (RegEdit)
Создает и запускает на исполнение:
- '%TEMP%\76521.exe'
- '%TEMP%\66070.exe'
- '%TEMP%\69960.scr' /S
- '%TEMP%\88771.exe'
- '%TEMP%\11582.exe'
- '%TEMP%\22874.scr' /S
- '%TEMP%\86514.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Win[366484]BootLog.cmd" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Win[365531]BootLog.cmd" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Win[323765]BootLog.cmd" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Win[496625]BootLog.cmd" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Win[499500]BootLog.cmd" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Win[498390]BootLog.cmd" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Win[499468]BootLog.cmd" "
- '<SYSTEM32>\schtasks.exe' /delete /f /tn "WindowsExplore"
- '<SYSTEM32>\schtasks.exe' /create /tn "System Restore" /tr "'%HOMEPATH%\Local Settings\Microsoft\Windows\mspaint.exe'" /sc ONLOGON /ru "CRNJEUFU\%USERNAME%"
- '<SYSTEM32>\schtasks.exe' /delete /f /tn "System Restore"
- '<SYSTEM32>\schtasks.exe' /create /tn "WindowsExplore" /tr "'%HOMEPATH%\Local Settings\Microsoft\Windows\Explorer\WmiPrivise.exe'" /sc ONLOGON /ru "CRNJEUFU\%USERNAME%"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Win[322328]BootLog.cmd" "
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /t Reg_dword /v DisableRegistryTools /f /d 1
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Win[309437]BootLog.cmd" "
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Win[498390]BootLog.cmd
- %TEMP%\Win[499468]BootLog.cmd
- %TEMP%\88771.exe
- %TEMP%\Win[496625]BootLog.cmd
- %TEMP%\66070.exe
- %TEMP%\69960.scr
- %TEMP%\Win[499500]BootLog.cmd
- %TEMP%\76521.exe
- %TEMP%\Win[322328]BootLog.cmd
- %TEMP%\Win[323765]BootLog.cmd
- %TEMP%\Win[309437]BootLog.cmd
- %TEMP%\11582.exe
- %TEMP%\Win[366484]BootLog.cmd
- %TEMP%\86514.exe
- %TEMP%\22874.scr
- %TEMP%\Win[365531]BootLog.cmd
Сетевая активность:
Подключается к:
- '25#.#55.255.255':80
- 'gm.com':80
TCP:
Запросы HTTP GET:
- 25#.#55.255.255/INSANEV2/insane/QueryCommand.php?HW#########################
- 25#.#55.255.255/INSANEV2/insane/QueryCommand.php?HW####################################################################
UDP:
- DNS ASK sa##e11.org
- DNS ASK gm.com
