Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'systemfile' = 'C:\RECYCLER\Joc\smss.exe'
- [<HKLM>\SOFTWARE\Classes\irc\Shell\open\command] '' = '"C:\RECYCLER\Joc\smss.exe" -noconnect'
- [<HKLM>\SOFTWARE\Classes\ChatFile\Shell\open\command] '' = '"C:\RECYCLER\Joc\smss.exe" -noconnect'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\RECYCLER\Joc\ecmd.exe' /pid=448
- 'C:\RECYCLER\Joc\ecmd.exe' /pid=3384
- 'C:\RECYCLER\Joc\ecmd.exe' /pid=3676
- 'C:\RECYCLER\Joc\ecmd.exe' /f /im pccntupd.exe
- 'C:\RECYCLER\Joc\ecmd.exe' /pid=636
- 'C:\RECYCLER\Joc\ecmd.exe' /f /im ashDisp.exe
- 'C:\RECYCLER\Joc\ecmd.exe' /f /im avgamsvr.exe
- 'C:\RECYCLER\Joc\ecmd.exe' /pid=3660
- 'C:\RECYCLER\Joc\ecmd.exe' /f /im nisum.exe
- 'C:\RECYCLER\Joc\ecmd.exe' win hide ititle Botnet
- 'C:\RECYCLER\Joc\ecmd.exe' win hide ititle cmd.exe
- 'C:\RECYCLER\Joc\ecmd.exe' exec2 hide "C:\RECYCLER\Joc\" "C:\RECYCLER\Joc\smss.exe"
- 'C:\RECYCLER\Joc\smss.exe'
- 'C:\RECYCLER\Joc\ecmd.exe' exec2 hide "C:\RECYCLER\Joc\" "C:\RECYCLER\Joc\t25.bat"
- 'C:\RECYCLER\Joc\ecmd.exe' /pid=3532
- 'C:\RECYCLER\Joc\ecmd.exe' exec2 hide "C:\RECYCLER\Joc\" "C:\RECYCLER\Joc\m90.bat"
- 'C:\RECYCLER\Joc\ecmd.exe' exec2 hide "C:\RECYCLER\Joc\" "C:\RECYCLER\Joc\v50.bat"
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /im tsc.exe
- '<SYSTEM32>\taskkill.exe' /f /im padmin.exe
- '<SYSTEM32>\taskkill.exe' /f /im pop3trap.exe
- '<SYSTEM32>\taskkill.exe' /f /im tmproxy.exe
- '<SYSTEM32>\taskkill.exe' /f /im tmntsrv.exe
- '<SYSTEM32>\taskkill.exe' /f /im apvxdwin.exe
- '<SYSTEM32>\taskkill.exe' /f /im webProxy.exe
- '<SYSTEM32>\taskkill.exe' /f /im avengine.exe
- '<SYSTEM32>\taskkill.exe' /f /im PavProt.exe
- '<SYSTEM32>\taskkill.exe' /f /im pandaav.exe
- '<SYSTEM32>\taskkill.exe' /f /im norton.exe
- '<SYSTEM32>\taskkill.exe' /f /im navapsvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im navw32.exe
- '<SYSTEM32>\taskkill.exe' /f /im Norton Auto-Protect.exe
- '<SYSTEM32>\taskkill.exe' /f /im cccproxy.exe
- '<SYSTEM32>\taskkill.exe' /f /im cpdclnt.exe
- '<SYSTEM32>\taskkill.exe' /f /im PCCTool.exe
- '<SYSTEM32>\taskkill.exe' /f /im issvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im npfmntor.exe
- '<SYSTEM32>\taskkill.exe' /f /im logexprt.exe
- '<SYSTEM32>\taskkill.exe' /f /im vettray.exe
- '<SYSTEM32>\taskkill.exe' /f /im realmon.exe
- '<SYSTEM32>\taskkill.exe' /f /im VetMsg.exe
- '<SYSTEM32>\taskkill.exe' /f /im caissdt.exe
- '<SYSTEM32>\taskkill.exe' /f /im InoRpc.exe
- '<SYSTEM32>\taskkill.exe' /pid=256
- '<SYSTEM32>\taskkill.exe' /pid=380
- '<SYSTEM32>\taskkill.exe' /pid=3804
- '%WINDIR%\regedit.exe' /f /im avgemc.exe
- '<SYSTEM32>\taskkill.exe' /pid=3452
- '<SYSTEM32>\taskkill.exe' /f /im avsched32.exe
- '<SYSTEM32>\taskkill.exe' /f /im SCCOMM.EXE
- '<SYSTEM32>\taskkill.exe' /f /im sched.exe
- '<SYSTEM32>\taskkill.exe' /f /im avguard.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgnt.exe
- '<SYSTEM32>\taskkill.exe' /f /im bdss.exe
- '<SYSTEM32>\taskkill.exe' /f /im INOTask.exe
- '<SYSTEM32>\taskkill.exe' /f /im bdswitch.exe
- '<SYSTEM32>\taskkill.exe' /f /im Spiderml.exe
- '<SYSTEM32>\taskkill.exe' /f /im vsserv.exe
- '<SYSTEM32>\taskkill.exe' /f /im ccevtmgr.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgamsvr.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgupsvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgcc.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgemc.exe
- '<SYSTEM32>\cmd.exe' /c ""C:\RECYCLER\Joc\m90.bat""
- '<SYSTEM32>\taskkill.exe' /f /im ashmaisv.exe
- '<SYSTEM32>\taskkill.exe' /f /im ashserv.exe
- '<SYSTEM32>\taskkill.exe' /f /im ashDisp.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgw.exe
- '<SYSTEM32>\taskkill.exe' /f /im ashWebSv.exe
- '<SYSTEM32>\taskkill.exe' /f /im nod32krn.exe
- '%WINDIR%\msagent\agentsvr.exe' -Embedding
- '<SYSTEM32>\cmd.exe' /c ""C:\RECYCLER\Joc\aca.bat" "
- '<SYSTEM32>\cmd.exe' /c ""C:\RECYCLER\Joc\w.bat""
- '%WINDIR%\regedit.exe' /s z18.reg
- '<SYSTEM32>\taskkill.exe' /f /im kavmm.exe
- '<SYSTEM32>\taskkill.exe' /f /im KAVPF.exe
- '<SYSTEM32>\taskkill.exe' /f /im kav.exe
- '<SYSTEM32>\taskkill.exe' /f /im nod32.exe
- '<SYSTEM32>\taskkill.exe' /f /im nod32kui.exe
- '<SYSTEM32>\taskkill.exe' /f /im UpdClient.exe
- '<SYSTEM32>\taskkill.exe' /f /im zlcliente.exe
- '<SYSTEM32>\taskkill.exe' /f /im zauinst.exe
- '<SYSTEM32>\taskkill.exe' /f /im isafe.exe
- '<SYSTEM32>\taskkill.exe' /f /im zapro.exe
- '<SYSTEM32>\taskkill.exe' /f /im ccapp.exe
- '<SYSTEM32>\taskkill.exe' /f /im ccsetmgr.exe
- '<SYSTEM32>\taskkill.exe' /f /im zlclient.exe
- '<SYSTEM32>\taskkill.exe' /f /im minilog.exe
- '<SYSTEM32>\taskkill.exe' /f /im zonealarm.exe
- '<SYSTEM32>\taskkill.exe' /f /im avgas.exe
- '<SYSTEM32>\taskkill.exe' /f /im gcasDtServ.exe
- '<SYSTEM32>\taskkill.exe' /f /im guard.exe
- '<SYSTEM32>\taskkill.exe' /f /im aswupdsv.exe
- '<SYSTEM32>\taskkill.exe' /f /im ewidoctrl.exe
- '<SYSTEM32>\taskkill.exe' /f /im MsiExec.exe
- '<SYSTEM32>\taskkill.exe' /f /im outpost.exe
- '<SYSTEM32>\taskkill.exe' /f /im mghtml.exe
- '<SYSTEM32>\taskkill.exe' /f /im MsMpEng.exe
- '<SYSTEM32>\taskkill.exe' /f /im mcafee.exe
Внедряет код в
следующие системные процессы:
- %WINDIR%\regedit.exe
- <SYSTEM32>\taskkill.exe
следующие пользовательские процессы:
- avgcc.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- zapro.exe
- ZONEALARM.EXE
- bdss.exe
- outpost.exe
- nod32.exe
- avgcc.exe
- GUARD.EXE
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: '(null)' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'GBDYLLO' WindowName: '(null)'
- ClassName: 'OLLYDBG' WindowName: '(null)'
- ClassName: 'FilemonClass' WindowName: '(null)'
- ClassName: 'pediy06' WindowName: '(null)'
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Picture_From_Party Uninstaller.exe
- C:\RECYCLER\Joc\xex.exe
- C:\RECYCLER\Joc\TMP1.$$$
- C:\RECYCLER\Joc\z18.reg
- C:\RECYCLER\Joc\ventrilo_pwd_hash.h
- C:\RECYCLER\Joc\ventrilo_algo.h
- C:\RECYCLER\Joc\winerr.h
- C:\RECYCLER\Joc\w.bat
- C:\RECYCLER\Joc\GetSt.part1.rar
- C:\RECYCLER\Joc\gic.part1.rar
- C:\RECYCLER\Joc\v50.bat
- C:\RECYCLER\Joc\t25.bat
- C:\RECYCLER\Joc\gic.part2.rar
- C:\RECYCLER\Joc\GetSt.part2.rar
- C:\RECYCLER\Joc\m90.bat
- C:\RECYCLER\Joc\icpv.part2.rar
- C:\RECYCLER\Joc\icpv.part1.rar
- C:\RECYCLER\Joc\ventrilofp.exe
- C:\RECYCLER\Joc\mirc.ini
- C:\RECYCLER\Joc\gps.exe
- C:\RECYCLER\Joc\mybrute.h
- C:\RECYCLER\Joc\mybrute.c
- C:\RECYCLER\Joc\aca.bat
- %TEMP%\aiw277578.EXE
- C:\RECYCLER\Joc\ecmd.exe
- C:\RECYCLER\Joc\dpspas.exe
- C:\RECYCLER\Joc\ps.dll
- C:\RECYCLER\Joc\url.html
- C:\RECYCLER\Joc\stats.dll
- C:\RECYCLER\Joc\ventrilofp.c
- C:\RECYCLER\Joc\ventrilo3_handshake.c
- C:\RECYCLER\Joc\remote.ini
- C:\RECYCLER\Joc\Rar.exe
- C:\RECYCLER\Joc\smss.exe
- C:\RECYCLER\Joc\show_dump.h
Удаляет следующие файлы:
- C:\RECYCLER\Joc\m90.bat
- C:\RECYCLER\Joc\v50.bat
- C:\RECYCLER\Joc\t25.bat
- %TEMP%\aiw277578.EXE
- C:\RECYCLER\Joc\TMP1.$$$
- C:\RECYCLER\Joc\z18.reg
Сетевая активность:
Подключается к:
- 'lo####poa.sytes.net':33572
- 'www.pl####nana.co.il':80
TCP:
Запросы HTTP GET:
- www.pl####nana.co.il/sfmnsfmh/icpv.part2.rar
- www.pl####nana.co.il/sfmnsfmh/gic.part1.rar
- www.pl####nana.co.il/sfmnsfmh/gic.part2.rar
- www.pl####nana.co.il/unicktoys/GetSt.part1.rar
- www.pl####nana.co.il/unicktoys/GetSt.part2.rar
- www.pl####nana.co.il/sfmnsfmh/icpv.part1.rar
UDP:
- DNS ASK lo####poa.sytes.net
- DNS ASK www.pl####nana.co.il
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'RegEdit_RegEdit' WindowName: '(null)'
- ClassName: '18467-41' WindowName: '(null)'
