Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Program' = '<SYSTEM32>\explorer.vbs /autorun'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\explorer.exe' --url http://po##.###e-me-ltc.com:8080 --threads=3 --userpass filatovandrei.777:777
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\explorer.bat" "
- '<SYSTEM32>\wscript.exe' "<SYSTEM32>\explorer.vbs"
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\libcurl-4.dll
- <SYSTEM32>\pthreadGC2.dll
- <SYSTEM32>\explorer.vbs
- <SYSTEM32>\explorer.bat
- <SYSTEM32>\explorer.exe
Сетевая активность:
Подключается к:
- 'po##.##ve-me-ltc.com':8080
UDP:
- DNS ASK po##.##ve-me-ltc.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
