Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'sysfile' = 'C:\System\SystemKeyLog\SystemFiles\lsiss.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svcfile' = '<SYSTEM32>\svchist.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'snoopy' = 'C:\System\SystemKeyLog\SystemPersistence\OverHear.vbs'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\lsiss.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
Создает и запускает на исполнение:
- C:\System\SystemKeyLog\SystemFiles\lsiss.exe
Запускает на исполнение:
- <SYSTEM32>\ping.exe 127.0.0.1 -n 3
- <SYSTEM32>\tskill.exe *0m3g4*
- <SYSTEM32>\tskill.exe *Angelina*
- <SYSTEM32>\rundll32.exe InetCpl.cpl,ClearMyTracksByProcess 4351
- <SYSTEM32>\wscript.exe "C:\System\SystemKeyLog\SystemPersistence\OverHear.vbs"
- <SYSTEM32>\wscript.exe "C:\System\SystemKeyLog\SystemTemp\0m3g4-58557203.125.vbs"
- <SYSTEM32>\tskill.exe *Medical*
- <SYSTEM32>\tskill.exe svchist
- <SYSTEM32>\tskill.exe lsiss
- <SYSTEM32>\cmd.exe /c ""C:\System\SystemKeyLog\SystemTemp\Relocate.bat""
- <SYSTEM32>\tskill.exe *TaxRecord*
- <SYSTEM32>\tskill.exe *Birth*
- <SYSTEM32>\tskill.exe *Resume*
Завершает или пытается завершить
следующие пользовательские процессы:
- opera.exe
- iexplore.exe
- chrome.exe
- firefox.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\CP2NCPUV\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\PCO0ATOG\desktop.ini
- %HOMEPATH%\Local Settings\History\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\desktop.ini
- %HOMEPATH%\Local Settings\History\History.IE5\desktop.ini
- C:\System\SystemKeyLog\SystemLogs\0m3g4Log.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ED4W048S\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\OQZY5YIV\desktop.ini
- C:\System\SystemKeyLog\SystemPersistence\OverHear.vbs
- <SYSTEM32>\svchist.exe
- C:\System\SystemKeyLog\SystemFiles\lsiss.exe
- C:\System\SystemKeyLog\SystemTools\rar
- C:\System\SystemKeyLog\SystemTemp\Relocate.bat
- C:\System\SystemKeyLog\SystemPersistence\0m3g4-58557203.125.bat
- C:\System\SystemKeyLog\SystemPersistence\0m3g4-hidden.vbs
- C:\System\SystemKeyLog\SystemTemp\0m3g4-58557203.125.txt
- C:\System\SystemKeyLog\SystemTemp\0m3g4-58557203.125.vbs
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ED4W048S\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\PCO0ATOG\desktop.ini
- %HOMEPATH%\Start Menu\Programs\Startup\lsiss.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\OQZY5YIV\desktop.ini
- C:\System\SystemKeyLog\SystemPersistence\0m3g4-hidden.vbs
- C:\System\SystemKeyLog\SystemPersistence\OverHear.vbs
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\CP2NCPUV\desktop.ini
- C:\System\SystemKeyLog\SystemPersistence\0m3g4-58557203.125.bat
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ED4W048S\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\OQZY5YIV\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\PCO0ATOG\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\CP2NCPUV\desktop.ini
- C:\System\SystemKeyLog\SystemTemp\Relocate.bat
- C:\System\SystemKeyLog\SystemTemp\0m3g4-58557203.125.vbs
- C:\System\SystemKeyLog\SystemTemp\0m3g4-58557203.125.txt
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ft#.#rivehq.com':21
- 'wp#d':80
TCP:
Запросы HTTP GET:
- wp#d/wpad.dat
UDP:
- DNS ASK ft#.#rivehq.com
- DNS ASK wp#d
- DNS ASK www.google.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
