Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'STALK' = '<SYSTEM32>\stalk.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Запускает на исполнение:
- '%WINDIR%\regedit.exe' /s "%APPDATA%\vlblaster.reg"
- '<SYSTEM32>\cmd.exe' /c ""C:\elisptines.bat""
- '<SYSTEM32>\taskkill.exe' /IM "gbpsv.exe" /F
- '<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c ""c:\bolidron.bat""
- '<SYSTEM32>\cmd.exe' /c ""C:\matricino.bat""
- '<SYSTEM32>\cmd.exe' /c ""C:\simetrinex.bat""
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'WarnonBadCertRecving' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- C:\simetrinex.txt
- %APPDATA%\vlblaster.reg
- C:\matricino.txt
- %APPDATA%\barufiquero.txt
- C:\elisptines.txt
- %APPDATA%\ijudentrol.txt
- <DRIVERS>\etc\hostss1
- <DRIVERS>\etc\lmhosts
- C:\vlblaster.pac
- C:\bolidron.txt
- %APPDATA%\dompqukeold.txt
- <SYSTEM32>\stalk.exe
- C:\gnewsetup.gif
- %HOMEPATH%\Internet Explorer.lnk
- %HOMEPATH%\Start Menu\Programs\Internet Explorer.lnk
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk
- %HOMEPATH%\Desktop\Internet Explorer.lnk
Присваивает атрибут 'скрытый' для следующих файлов:
- <DRIVERS>\etc\lmhosts
- <Полный путь к вирусу>
- <SYSTEM32>\stalk.exe
Удаляет следующие файлы:
- C:\simetrinex.bat
- %APPDATA%\vlblaster.reg
- C:\matricino.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\lili[1].txt
- <DRIVERS>\etc\hosts
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\pacuzinho[1].txt
- C:\bolidron.bat
- %APPDATA%\dompqukeold.txt
- %HOMEPATH%\Desktop\Internet Explorer.lnk
- %APPDATA%\barufiquero.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\image[1].gif
- C:\gnewsetup.gif
Перемещает следующие файлы:
- C:\simetrinex.txt в C:\simetrinex.bat
- C:\elisptines.txt в C:\elisptines.bat
- C:\vlblaster.pac в %APPDATA%\vlblaster.pac
- C:\bolidron.txt в C:\bolidron.bat
- C:\matricino.txt в C:\matricino.bat
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- '14#.#85.220.216':80
- 'localhost':1036
- '14#.#85.220.217':80
TCP:
Запросы HTTP GET:
- 14#.#85.220.217/base/lili.txt
- 14#.#85.220.216/base/pacuzinho.txt
- 14#.#85.220.217/data/image.gif
Запросы HTTP POST:
- 14#.#85.220.217/data/newenv.php
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
Изменяет значение AutoConfigURL
