Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WinXPService' = 'c:\winnt\system32\nero.exe'
- [<HKLM>\SOFTWARE\Classes\irc\Shell\open\command] '' = '"c:\winnt\system32\nero.exe" -noconnect'
- [<HKLM>\SOFTWARE\Classes\ChatFile\Shell\open\command] '' = '"c:\winnt\system32\nero.exe" -noconnect'
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\MSpool] 'Start' = '00000002'
Malicious functions:
Creates and executes the following:
- C:\winnt\system32\devcheck.exe /n /fh mirc
- C:\winnt\system32\devcheck.exe /n /fh /r "edit.bat"
- C:\winnt\system32\mscdt.exe
- C:\winnt\system32\devcheck.exe /n /fh /r nero.exe
- C:\winnt\system32\nero.exe
- C:\winnt\system32\mscdt.exe /i /s
Executes the following:
- %WINDIR%\regedit.exe /s k82.reg
- <SYSTEM32>\net1.exe stop serv-u ftp
- <SYSTEM32>\cmd.exe /c edit.bat
- <SYSTEM32>\net1.exe start "MS System Spooler"
- <SYSTEM32>\net.exe stop serv-u
- <SYSTEM32>\cmd.exe /c ""c:\winnt\system32\start.bat" "
- <SYSTEM32>\net.exe stop serv-u ftp
- <SYSTEM32>\net1.exe stop serv-u
Modifies file system :
Creates the following files:
- C:\winnt\system32\bot.dll
- C:\winnt\system32\control.ini
- C:\winnt\system32\devcheck.exe
- C:\winnt\system32\xsys.dll
- C:\winnt\system32\sqlpass.dic
- C:\winnt\system32\start.bat
- C:\winnt\system32\wget.exe
- C:\winnt\system32\dxn17.dll
- C:\winnt\system32\k82.reg
- C:\winnt\system32\TMP1.$$$
- C:\winnt\system32\SystemSpool_dll.ocx
- C:\winnt\system32\ipcpass.dic
- C:\winnt\system32\rdate
- C:\winnt\system32\mscdt.exe
- C:\winnt\system32\systemspool.ocx
- C:\winnt\system32\scansql.exe
- C:\winnt\system32\IpcScan.exe
- C:\winnt\system32\KAHOL.bat
- C:\winnt\system32\Libparse.exe
- C:\winnt\system32\il.dbx
- C:\winnt\system32\edit.BAT
- C:\winnt\system32\edu.ini
- C:\winnt\system32\find.bat
- C:\winnt\system32\lock.bat
- C:\winnt\system32\protect.bat
- C:\winnt\system32\psexec.exe
- C:\winnt\system32\random.ini
- C:\winnt\system32\osql.exe
- C:\winnt\system32\nero.exe
- C:\winnt\system32\nero.inf
- C:\winnt\system32\neroupdate.ini
Sets the 'hidden' attribute to the following files:
- C:\winnt\system32\il.dbx
Deletes the following files:
- C:\winnt\system32\k82.reg
- C:\winnt\system32\TMP1.$$$
Network activity:
Connects to:
- 'uc####.no-ip.com':6667
UDP:
- DNS ASK UC####.NO-IP.COM
Miscellaneous:
Searches for the following windows:
- ClassName: '' WindowName: 'mirc'
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
