Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}] 'stubpath' = ''
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\°ІЧ°.bat
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\programs\ini.exe
Запускает на исполнение:
- <SYSTEM32>\telnet.exe 10.0.1.5 4444
- <SYSTEM32>\telnet.exe 10.0.1.19 4444
- <SYSTEM32>\telnet.exe 10.0.1.7 4444
- <SYSTEM32>\telnet.exe 10.0.1.22 4444
- <SYSTEM32>\telnet.exe 10.0.1.18 4444
- <SYSTEM32>\telnet.exe 10.0.1.21 4444
- <SYSTEM32>\telnet.exe 10.0.1.4 4444
- <SYSTEM32>\telnet.exe 10.0.1.20 4444
- <SYSTEM32>\telnet.exe 10.0.1.14 4444
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\drwtsn32.exe
следующие пользовательские процессы:
- 360tray.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\Far\PlugDoc\Examples\TmpPanel\wsock32.dll
- C:\Far\PlugDoc\Examples\Network\wsock32.dll
- C:\Far\PlugDoc\Examples\MultiArc\wsock32.dll
- C:\Far\PlugDoc\Headers.pas\wsock32.dll
- C:\Far\PlugDoc\Headers.c\wsock32.dll
- C:\Far\PlugDoc\Examples\wsock32.dll
- C:\Far\PlugDoc\Examples\FileCase\wsock32.dll
- C:\Far\PlugDoc\Examples\FARCmds\wsock32.dll
- C:\Far\PlugDoc\Examples\Editor\wsock32.dll
- C:\Far\PlugDoc\Examples\MultiArc\Formats\wsock32.dll
- C:\Far\PlugDoc\Examples\HlfViewer\wsock32.dll
- C:\Far\PlugDoc\Examples\HelloWorld\wsock32.dll
- C:\Far\PlugDoc\wsock32.dll
- C:\Far\Plugins\Compare\wsock32.dll
- C:\Far\Plugins\COMP\wsock32.dll
- C:\Far\Plugins\CallCommand\wsock32.dll
- C:\Far\Plugins\Editor\AutoWrap\wsock32.dll
- C:\Far\Plugins\Editor\Align\wsock32.dll
- C:\Far\Plugins\DOCFILE\wsock32.dll
- C:\Far\Plugins\backup\wsock32.dll
- C:\Far\Plugins\ascii\wsock32.dll
- C:\Far\Plugins\ascii\src\wsock32.dll
- C:\Far\Plugins\CallCommand\bin\wsock32.dll
- C:\Far\Plugins\calc2\wsock32.dll
- C:\Far\Plugins\calc\wsock32.dll
- C:\Far\PlugDoc\Examples\Editor\EditCase\wsock32.dll
- %WINDIR%\programs\desktop.ini
- C:\Far\Addons\Macros\wsock32.dll
- C:\Far\Addons\Colors\wsock32.dll
- C:\Far\Addons\Tables\Central European\wsock32.dll
- C:\Far\Addons\Shell\wsock32.dll
- C:\Far\Addons\SetUp\wsock32.dll
- %WINDIR%\programs\wsock32.dll
- %WINDIR%\programs\fuckme.vbs
- %WINDIR%\programs\ini.exe
- C:\Far\Addons\Colors\Default Highlighting\wsock32.dll
- C:\Far\Addons\Colors\Custom Highlighting\wsock32.dll
- C:\Far\Addons\Archivers\wsock32.dll
- C:\Far\Addons\Tables\Cyrillic\E-Mail Double Conversion\wsock32.dll
- C:\Far\PlugDoc\Examples\Editor\Align\wsock32.dll
- C:\Far\PlugDoc\Examples\Compare\wsock32.dll
- C:\Far\Addons\wsock32.dll
- C:\Far\PlugDoc\Examples\Editor\DrawLine\wsock32.dll
- C:\Far\PlugDoc\Examples\Editor\Brackets\wsock32.dll
- C:\Far\PlugDoc\Examples\Editor\AutoWrap\wsock32.dll
- C:\Far\Addons\Tables\Western European\wsock32.dll
- C:\Far\Addons\Tables\Hebrew\wsock32.dll
- C:\Far\Addons\Tables\Cyrillic\wsock32.dll
- C:\Far\Addons\XLat\wsock32.dll
- C:\Far\Addons\XLat\Russian\wsock32.dll
- C:\Far\Addons\Tables\wsock32.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\programs\desktop.ini
Сетевая активность:
Подключается к:
- 'localhost':1325
- '22#.#86.42.179':81
- '<IP-адрес в локальной сети>':80
- '22#.#86.42.179':82
- '<IP-адрес в локальной сети>':445
- '<IP-адрес в локальной сети>':139
Другое:
Ищет следующие окна:
- ClassName: 'AfxControlBar42s' WindowName: ''
