Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\BackGround Switch] 'Start' = '00000002'
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dsound010.dll файлом <SYSTEM32>\dsound.dll
- <SYSTEM32>\dsound.dll файлом <SYSTEM32>\dsoundtemp
- <SYSTEM32>\dbghelp.dll файлом <SYSTEM32>\dbgtemp
- <SYSTEM32>\lpk.dll файлом <SYSTEM32>\Bansme.dll
- <SYSTEM32>\dbghelp010.dll файлом <SYSTEM32>\dbghelp.dll
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Cредство проверки системных файлов (SFC)
Создает и запускает на исполнение:
- '%TEMP%\Temp\dnfyt4.4.exe'
- '%TEMP%\Temp\3.exe'
- '%TEMP%\Temp\Compose05.exe'
- '%TEMP%\Temp\dnfyt4.4 .exe'
- '%TEMP%\Temp\server.exe'
- '<SYSTEM32>\regedit32.exe'
Запускает на исполнение:
- '<SYSTEM32>\sfc.exe' /REVERT
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Temp\Compose05.exe.bat" "
- '<SYSTEM32>\cmd.exe' /c c:\del.bat
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\s2am.ime,Runed
- '<SYSTEM32>\svchost.exe'
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Temp\server.exe.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Temp\dnfyt4.4 .exe.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Temp\dnfyt4.4.exe.bat" "
- '<SYSTEM32>\rundll32.exe' No1.dll,init %TEMP%\Temp\3.exe
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Temp\3.exe.bat" "
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\sfcos.dll
- <SYSTEM32>\1.tmp
- <SYSTEM32>\No1.dll
- <SYSTEM32>\dbgtemp
- <SYSTEM32>\2.tmp
- C:\del.bat
- <SYSTEM32>\dsoundtemp
- <SYSTEM32>\Bansme.dll
- %TEMP%\Temp\dnfyt4.4.exe
- %TEMP%\Temp\server.exe
- %TEMP%\Temp\dnfyt4.4 .exe
- %TEMP%\Temp\3.exe
- <SYSTEM32>\Sync.log
- %TEMP%\Temp\Compose05.exe
- <SYSTEM32>\regedit32.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\regedit32.exe
Удаляет следующие файлы:
- %TEMP%\Temp\dnfyt4.4.exe
- <SYSTEM32>\dllcache\lpk.dll
- %TEMP%\Temp\Compose05.exe
- %TEMP%\Temp\server.exe
- %TEMP%\Temp\dnfyt4.4 .exe
- %TEMP%\Temp\3.exe
Перемещает следующие системные файлы:
- <SYSTEM32>\dsound.dll в <SYSTEM32>\dsound010.dll
- <SYSTEM32>\dbghelp.dll в <SYSTEM32>\dbghelp010.dll
- <SYSTEM32>\lpk.dll в <SYSTEM32>\mymyupts.dll
Перемещает следующие файлы:
- <SYSTEM32>\dbgtemp в %TEMP%\4.tmp
- <SYSTEM32>\dsoundtemp в %TEMP%\5.tmp
- <SYSTEM32>\dsound.dll в <SYSTEM32>\dsound.dll
- <SYSTEM32>\1.tmp в <SYSTEM32>\s2am.ime
- <SYSTEM32>\s2am.ime в %TEMP%\3.tmp
- <SYSTEM32>\2.tmp в <SYSTEM32>\s2am.ime
Сетевая активность:
Подключается к:
- 'qq###.3322.org':1567
UDP:
- DNS ASK qq###.3322.org
