Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\ammyy] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nsg2.tmp\nsA.tmp' "net.exe" start ammyy /y
- '%TEMP%\nsg2.tmp\ns9.tmp' "sc.exe" description ammyy "Configurate Reload System"
- '%TEMP%\nsg2.tmp\ns8.tmp' "sc.exe" create ammyy binpath= "%ALLUSERSPROFILE%\Application Data\Acess\wmihost.exe -service -debug" start= auto displayname= "Configure System"
- '%ALLUSERSPROFILE%\Application Data\Acess\wmihost.exe' -outid
- '%ALLUSERSPROFILE%\Application Data\Acess\wmihost.exe' -nogui -debug
- '%ALLUSERSPROFILE%\Application Data\Acess\wmihost.exe' -service -debug
- '%TEMP%\nsg2.tmp\ns5.tmp' "net.exe" stop ammyy /y
- '%TEMP%\nsg2.tmp\ns4.tmp' tskill wmihost
- '%TEMP%\nsg2.tmp\ns3.tmp' taskkill /f /t /im wmihost.exe
- '%TEMP%\nsg2.tmp\ns7.tmp' "sc.exe" delete ammyy /y
- '%TEMP%\tmp2.exe' x %TEMP%\tmp1 -p07152d234b70111 -o"%ALLUSERSPROFILE%\Application Data\Acess" -aoa
- '%TEMP%\nsg2.tmp\ns6.tmp' %TEMP%\tmp2.exe x %TEMP%\tmp1 -p07152d234b70111 -o"%ALLUSERSPROFILE%\Application Data\Acess" -aoa
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' create ammyy binpath= "%ALLUSERSPROFILE%\Application Data\Acess\wmihost.exe -service -debug" start= auto displayname= "Configure System"
- '<SYSTEM32>\sc.exe' delete ammyy /y
- '<SYSTEM32>\net1.exe' start ammyy /y
- '<SYSTEM32>\sc.exe' description ammyy "Configurate Reload System"
- '<SYSTEM32>\tskill.exe' wmihost
- '<SYSTEM32>\taskkill.exe' /f /t /im wmihost.exe
- '<SYSTEM32>\net1.exe' stop ammyy /y
- '<SYSTEM32>\net.exe' stop ammyy /y
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsg2.tmp\ns9.tmp
- %TEMP%\nsg2.tmp\nsA.tmp
- %TEMP%\nsg2.tmp\ns8.tmp
- %ALLUSERSPROFILE%\Application Data\Acess\wmihost.exe
- %TEMP%\nsg2.tmp\ns7.tmp
- %ALLUSERSPROFILE%\Application Data\AMMYY\settings3.bin
- %ALLUSERSPROFILE%\Application Data\Acess\ammyy_id.log
- %ALLUSERSPROFILE%\Application Data\Acess\wmihost.log
- %ALLUSERSPROFILE%\Application Data\Acess\hr
- %ALLUSERSPROFILE%\Application Data\Acess\hr3
- %TEMP%\nsg2.tmp\ns3.tmp
- %TEMP%\nsg2.tmp\ns4.tmp
- %TEMP%\nsg2.tmp\nsExec.dll
- %TEMP%\nsg2.tmp\System.dll
- %TEMP%\nsg2.tmp\UserInfo.dll
- %TEMP%\nsg2.tmp\ns6.tmp
- %ALLUSERSPROFILE%\Application Data\Acess\settings3.bin
- %TEMP%\tmp2
- %TEMP%\nsg2.tmp\ns5.tmp
- %TEMP%\tmp1
Удаляет следующие файлы:
- %TEMP%\nsg2.tmp\ns7.tmp
- %TEMP%\tmp1
- %TEMP%\nsg2.tmp\ns8.tmp
- %TEMP%\nsg2.tmp\nsA.tmp
- %TEMP%\nsg2.tmp\ns9.tmp
- %TEMP%\nsg2.tmp\ns4.tmp
- %TEMP%\nsg2.tmp\ns3.tmp
- %TEMP%\nsg2.tmp\ns5.tmp
- %TEMP%\tmp2.exe
- %TEMP%\nsg2.tmp\ns6.tmp
Перемещает следующие файлы:
- %TEMP%\tmp2 в %TEMP%\tmp2.exe
Сетевая активность:
Подключается к:
- 'rl.##myy.com':80
TCP:
Запросы HTTP POST:
- rl.##myy.com/
UDP:
- DNS ASK rl.##myy.com
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
