Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'debugger' = 'C:\Config.Msi\5ce97.rbf.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\lanmanworkstation] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\lanmanserver] 'Start' = '00000002'
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\autorun.inf
- <Имя диска съемного носителя>:\RECYCLER.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\HTML Help Workshop\msmsgs.exe' e "%PROGRAM_FILES%\HTML Help Workshop\S-1-9-85-0512001\RECYCLER.exe" "E:\RECYCLER.exe" EVIL
- '%PROGRAM_FILES%\HTML Help Workshop\msmsgs.exe' u "E:\RECYCLER" "c:\recycler\mulu.exe" EVIL
- '%PROGRAM_FILES%\HTML Help Workshop\msmsgs.exe'
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' user guest /active
Устраняет перехваты фукнций в SSDT (System Service Descriptor Table).
Изменения в файловой системе:
Создает следующие файлы:
- C:\RECYCLER\RCX10.tmp
- C:\Config.Msi\yyyy.bmp
- C:\RECYCLER\RCX12.tmp
- C:\RECYCLER\RCX11.tmp
- %WINDIR%\security\Database\db32.idx
- C:\Config.Msi\ssss.wav
- C:\RECYCLER\RCXF.tmp
- C:\RECYCLER\mulu.exe
- C:\RECYCLER\RCX18.tmp
- C:\RECYCLER\RCX17.tmp
- %PROGRAM_FILES%\HTML Help Workshop\S-1-9-85-0512001\RECYCLER.exe
- C:\RECYCLER\RCX19.tmp
- C:\RECYCLER\RCX14.tmp
- C:\RECYCLER\RCX13.tmp
- C:\RECYCLER\RCX16.tmp
- C:\RECYCLER\RCX15.tmp
- C:\Config.Msi\RCXE.tmp
- C:\Config.Msi\5ce97.rbf.exe
- <DRIVERS>\PCIDump.sys
- C:\Config.Msi\RCX5.tmp
- C:\Config.Msi\RCX4.tmp
- %PROGRAM_FILES%\HTML Help Workshop\RCX1.tmp
- %PROGRAM_FILES%\HTML Help Workshop\msmsgs.exe
- %PROGRAM_FILES%\HTML Help Workshop\RCX3.tmp
- %PROGRAM_FILES%\HTML Help Workshop\RCX2.tmp
- C:\Config.Msi\RCXB.tmp
- C:\Config.Msi\RCXA.tmp
- C:\Config.Msi\RCXD.tmp
- C:\Config.Msi\RCXC.tmp
- C:\Config.Msi\RCX7.tmp
- C:\Config.Msi\RCX6.tmp
- C:\Config.Msi\RCX9.tmp
- C:\Config.Msi\RCX8.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\autorun.inf
- %WINDIR%\security\Database\db32.idx
Удаляет следующие файлы:
- C:\RECYCLER\mulu.exe
- %PROGRAM_FILES%\HTML Help Workshop\S-1-9-85-0512001\RECYCLER.exe
- %PROGRAM_FILES%\HTML Help Workshop\msmsgs.exe
- C:\Config.Msi\5ce97.rbf.exe
Перемещает следующие файлы:
- C:\RECYCLER\RCX11.tmp в C:\RECYCLER\mulu.exe
- C:\RECYCLER\RCX12.tmp в C:\RECYCLER\mulu.exe
- C:\RECYCLER\RCX13.tmp в C:\RECYCLER\mulu.exe
- C:\Config.Msi\RCXE.tmp в C:\Config.Msi\5ce97.rbf.exe
- C:\RECYCLER\RCXF.tmp в C:\RECYCLER\mulu.exe
- C:\RECYCLER\RCX10.tmp в C:\RECYCLER\mulu.exe
- C:\RECYCLER\RCX17.tmp в C:\RECYCLER\mulu.exe
- C:\RECYCLER\RCX18.tmp в C:\RECYCLER\mulu.exe
- C:\RECYCLER\RCX19.tmp в C:\RECYCLER\mulu.exe
- C:\RECYCLER\RCX14.tmp в C:\RECYCLER\mulu.exe
- C:\RECYCLER\RCX15.tmp в C:\RECYCLER\mulu.exe
- C:\RECYCLER\RCX16.tmp в C:\RECYCLER\mulu.exe
- C:\Config.Msi\RCXD.tmp в C:\Config.Msi\5ce97.rbf.exe
- C:\Config.Msi\RCX4.tmp в C:\Config.Msi\5ce97.rbf.exe
- C:\Config.Msi\RCX5.tmp в C:\Config.Msi\5ce97.rbf.exe
- C:\Config.Msi\RCX6.tmp в C:\Config.Msi\5ce97.rbf.exe
- %PROGRAM_FILES%\HTML Help Workshop\RCX1.tmp в %PROGRAM_FILES%\HTML Help Workshop\msmsgs.exe
- %PROGRAM_FILES%\HTML Help Workshop\RCX2.tmp в %PROGRAM_FILES%\HTML Help Workshop\msmsgs.exe
- %PROGRAM_FILES%\HTML Help Workshop\RCX3.tmp в %PROGRAM_FILES%\HTML Help Workshop\msmsgs.exe
- C:\Config.Msi\RCXA.tmp в C:\Config.Msi\5ce97.rbf.exe
- C:\Config.Msi\RCXB.tmp в C:\Config.Msi\5ce97.rbf.exe
- C:\Config.Msi\RCXC.tmp в C:\Config.Msi\5ce97.rbf.exe
- C:\Config.Msi\RCX7.tmp в C:\Config.Msi\5ce97.rbf.exe
- C:\Config.Msi\RCX8.tmp в C:\Config.Msi\5ce97.rbf.exe
- C:\Config.Msi\RCX9.tmp в C:\Config.Msi\5ce97.rbf.exe
Сетевая активность:
Подключается к:
- '20#.#6.232.182':80
- 'th######news.byethost5.com':80
TCP:
Запросы HTTP GET:
- 20#.#6.232.182/en/us/defualt.aspx
- th######news.byethost5.com/online.php?c=###############################################################################################################
UDP:
- DNS ASK www.microsoft.com
- DNS ASK th######news.byethost5.com
