Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bipro' = 'rundll32 "%WINDIR%\$XNTUninstall643$\pticq.dll",,Run'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\cid114eid001D.exe'
- '%TEMP%\cid114eid002D.exe'
- '%TEMP%\nsvB.tmp\nsC.tmp' %TEMP%\java_setup32.bat
- '%TEMP%\Dymanet.exe'
- '%TEMP%\aro319_2.exe'
- '%TEMP%\mc0504D.exe'
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\$XNTUninstall643$\pticq.dll"
- '<SYSTEM32>\ping.exe' 1.1.1.1 -n 1 -w 300000
- '<SYSTEM32>\rundll32.exe' "%WINDIR%\$XNTUninstall643$\pticq.dll",,Run
- '<SYSTEM32>\rundll32.exe' url.dll,FileProtocolHandler "http://www.bi##op.com/?ci#######################"
- '<SYSTEM32>\regsvr32.exe' /s "%WINDIR%\$XNTUninstall643$\bqydq.dll"
- '<SYSTEM32>\cmd.exe' /c %TEMP%\java_setup32.bat
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\$XNTUninstall643$\apUninstall.exe
- %TEMP%\nsuD.tmp\InetLoad.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\adpro[1].srf
- %WINDIR%\$XNTUninstall643$\pticq.dll
- %TEMP%\java_setup32.bat
- %TEMP%\nsvB.tmp\nsExec.dll
- %TEMP%\nsvB.tmp\nsC.tmp
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\ca060f8b-2a13-4b12-9d74-311624d49c3e
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\7b7bc2750827c76d5065687e7f189442_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %HOMEPATH%\Local Settings\Temporary Internet Files\277446
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\binpop[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ezlife[1].srf
- <SYSTEM32>\022f638e-f706-fa7f-efaf-f0641f25d0fe.dll
- %TEMP%\cid114eid001D.exe
- %TEMP%\cid114eid002D.exe
- %TEMP%\nsl5.tmp\UAC.dll
- %TEMP%\mc0504D.exe
- %TEMP%\nsm2.tmp
- %TEMP%\Dymanet.exe
- %TEMP%\aro319_2.exe
- %TEMP%\nsu8.tmp
- %TEMP%\nsl5.tmp\Math.dll
- %TEMP%\nsuA.tmp
- %WINDIR%\$XNTUninstall643$\bqydq.dll
- %WINDIR%\$NARWE4234Uninstall$\cruz.dll
- %TEMP%\nsl5.tmp\System.dll
- %WINDIR%\$NARWE4234Uninstall$\punstl.exe
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\277446
- %TEMP%\nsvB.tmp\nsExec.dll
- %TEMP%\nsvB.tmp\nsC.tmp
Сетевая активность:
Подключается к:
- 'localhost':1042
- 'localhost':1043
- 'op####erving.com':80
- 'www.bi##op.com':80
- 'localhost':1035
- 'cn##.##enti4seven.com':80
- 're#####.mag-net-work.com':80
TCP:
Запросы HTTP GET:
- www.bi##op.com/?ci#######################
- op####erving.com/cnfg/ezlife.srf?pr###################################################################################################################
- cn##.##enti4seven.com/cnfg/adpro.srf?pr##################################################################################################################
- re#####.mag-net-work.com/instl/nsis.srf?cm########################################################################################################
UDP:
- DNS ASK op####erving.com
- DNS ASK d-##ne.biz
- DNS ASK www.bi##op.com
- DNS ASK cn##.##enti4seven.com
- DNS ASK re#####.mag-net-work.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'Shell DocObject View' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'IEFrame' WindowName: '(null)'
