Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'System' = '{9FCD78BC-B46E-4879-A972-75370AC4685D}'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\mstasks1.exe'
- '%WINDIR%\toolbar.exe'
- '%WINDIR%\seksdialer.exe'
- '%WINDIR%\mstasks2.exe'
- '<SYSTEM32>\explorer.exe'
- '%WINDIR%\desktop.exe'
- '%WINDIR%\system.exe'
- '%WINDIR%\system.exe' (загружен из сети Интернет)
- '%WINDIR%\seksdialer.exe' (загружен из сети Интернет)
- '%WINDIR%\mstasks2.exe' (загружен из сети Интернет)
- '%WINDIR%\desktop.exe' (загружен из сети Интернет)
- '<SYSTEM32>\explorer.exe' (загружен из сети Интернет)
- '%WINDIR%\mstasks1.exe' (загружен из сети Интернет)
- '%WINDIR%\toolbar.exe' (загружен из сети Интернет)
Завершает или пытается завершить
следующие пользовательские процессы:
- Drwebupw.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\mstasks1.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mstasks2[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\mstasks1[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\toolbar[1].txt
- %WINDIR%\toolbar.exe
- %WINDIR%\mstasks2.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\access2[1].asp
- %WINDIR%\seksdialer.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\kladv3[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\kluniqadv3[1].php
- %WINDIR%\test
- <SYSTEM32>\secure33.txt
- %WINDIR%\system.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\system34[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\system44[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\secure32[1].php
- <SYSTEM32>\secure32.txt
- <SYSTEM32>\system32.dll
- <SYSTEM32>\explorer.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\secure33[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\dkserver[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\desktop[1].txt
- %WINDIR%\desktop.exe
Сетевая активность:
Подключается к:
- '67.#9.51.10':80
- '21#.#59.117.133':80
- '64.##7.104.144':80
TCP:
Запросы HTTP GET:
- 64.##7.104.144/progs/mstasks2.txt
- 64.##7.104.144/progs/mstasks1.txt
- 64.##7.104.144/progs/toolbar.txt
- 67.#9.51.10/enter/access2.asp?us########
- 21#.#59.117.133/dl/kladv3.php
- 21#.#59.117.133/dl/kluniqadv3.php
- 64.##7.104.144/progs/system34.txt
- 64.##7.104.144/progs/system44.txt
- 64.##7.104.144/progs/secure32.php
- 64.##7.104.144/progs/secure33.php
- 64.##7.104.144/progs/dkserver.txt
- 64.##7.104.144/progs/desktop.txt
