Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'dlyadr04era' = '%WINDIR%\sdr0cheru.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\1.tmp\sdr0cheru.exe
Запускает на исполнение:
- <SYSTEM32>\reg.exe add hklm\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce /v dlyadr04era /t REG_SZ /d %WINDIR%\sdr0cheru.exe /f
- <SYSTEM32>\cmd.exe /c ""%TEMP%\2.tmp\sdr0cheru.bat" "
- <SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\ШПИОН ДЛЯ КОНТАКТА.bat" "
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1.tmp\News_32751_4 - копия - копия - копия (2).jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия - копия (2) - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия - копия - копия (2).jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия - копия (3).jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия (4).jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия (3) - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия (2).jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия (4) - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия (3).jpg
- %TEMP%\1.tmp\ЧИТЫ ВКОНТАКТЕ.rar
- %TEMP%\1.tmp\News_32751_4.jpg
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\ts[1].php
- %TEMP%\2.tmp\sdr0cheru.bat
- %TEMP%\1.tmp\News_32751_4 - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия - копия - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия - копия - копия - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия (2) - копия - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия (2) - копия - копия - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия (2).jpg
- %TEMP%\1.tmp\News_32751_4 - копия (2) - копия.jpg
- %TEMP%\1.tmp\sdr0cheru.exe
- %TEMP%\1.tmp\123
- %TEMP%\1.tmp\ШПИОН ДЛЯ КОНТАКТА.bat
- %TEMP%\1.tmp\gpo4epy.exe
- %TEMP%\1.tmp\456
- %TEMP%\1.tmp\News_32751_4 - копия (5) - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия (4).jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия (2) - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия - копия (2) - копия - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия (4) - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия (3) - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия (3) - копия - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия (4) - копия - копия.jpg
- %TEMP%\1.tmp\News_32751_4 - копия (3).jpg
Удаляет следующие файлы:
- %TEMP%\1.tmp\ШПИОН ДЛЯ КОНТАКТА.bat
Сетевая активность:
Подключается к:
- 'sp##okvk.in':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- sp##okvk.in/ts.php?p_#######
UDP:
- DNS ASK sp##okvk.in
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
