Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{A6479374-1B82-F983-DBED-B41DE19E8E0A}] 'StubPath' = 'winver16.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'IgfxTray' = 'winver16.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\tmp2.exe
Запускает на исполнение:
- <SYSTEM32>\reg.exe add HKLM\SYSTEM\CurrentControlSet\Services\IpFilterDriver /v imagepath /t REG_EXPAND_SZ /d System32\DRIVERS\ipfltdrv.sys /f
- <SYSTEM32>\reg.exe add HKLM\SYSTEM\CurrentControlSet\Services\IpFilterDriver /v imagepath /t REG_EXPAND_SZ /d system32\52305.tmp /f
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\dllcache\aic77ux.sys
- %WINDIR%\Installer\b287ee.msi
- <SYSTEM32>\winver16.exe
- %HOMEPATH%\Cookies\index64.dat
- %TEMP%\<Имя вируса>.doc
- %TEMP%\tmp2.exe
- %HOMEPATH%\52305.tmp
Удаляет следующие файлы:
- %HOMEPATH%\Cookies\index64.dat
- <SYSTEM32>\52305.tmp
Сетевая активность:
Подключается к:
- '64.#4.23.82':80
TCP:
Запросы HTTP GET:
- 64.#4.23.82/search?io#################################################################################################################################################
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'WordPadClass' WindowName: ''
