Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'krieg' = '%APPDATA%\krieg\vkrieg.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\krieg\krieg.exe' /pid=5204
- '%APPDATA%\krieg\krieg.exe' /pid=6040
- '%APPDATA%\krieg\krieg.exe' /pid=4724
- '%APPDATA%\krieg\krieg.exe' /pid=5968
- '%APPDATA%\krieg\krieg.exe' /pid=6020
- '%APPDATA%\krieg\krieg.exe' /pid=2644
- '%APPDATA%\krieg\krieg.exe' /pid=3544
- '%APPDATA%\krieg\krieg.exe' /pid=5184
- '%APPDATA%\krieg\krieg.exe' /pid=4384
- '%APPDATA%\krieg\krieg.exe' /pid=3764
- '%APPDATA%\krieg\krieg.exe' /pid=3424
- '%APPDATA%\krieg\krieg.exe' /pid=3044
- '%APPDATA%\krieg\krieg.exe' /pid=3144
- '%APPDATA%\krieg\krieg.exe' /pid=4656
- '%APPDATA%\krieg\krieg.exe' /pid=4824
- '%APPDATA%\krieg\krieg.exe' /pid=4716
- '%APPDATA%\krieg\krieg.exe' /pid=4044
- '%APPDATA%\krieg\krieg.exe' /pid=4216
- '%APPDATA%\krieg\krieg.exe' /pid=2820
- '%APPDATA%\krieg\krieg.exe' /pid=3864
- '%APPDATA%\krieg\krieg.exe' /pid=2220
- '%APPDATA%\krieg\krieg.exe' /pid=4884
- '%APPDATA%\krieg\krieg.exe' /pid=3264
- '%APPDATA%\krieg\krieg.exe' /pid=4336
- '%APPDATA%\krieg\krieg.exe' /pid=4624
- '%APPDATA%\krieg\krieg.exe' /pid=5928
- '%APPDATA%\krieg\krieg.exe' /pid=4956
- '%APPDATA%\krieg\krieg.exe' /pid=5436
- '%APPDATA%\krieg\krieg.exe' /pid=3324
- '%APPDATA%\krieg\krieg.exe' /pid=3664
- '%APPDATA%\krieg\krieg.exe' /pid=5660
- '%APPDATA%\krieg\krieg.exe' /pid=5216
- '%APPDATA%\krieg\krieg.exe' /pid=5616
- '%APPDATA%\krieg\krieg.exe' /pid=6088
- '%APPDATA%\krieg\krieg.exe' /pid=5116
- '%APPDATA%\krieg\krieg.exe' /pid=2700
- '%APPDATA%\krieg\krieg.exe' /pid=3244
- '%APPDATA%\krieg\krieg.exe' /pid=4204
- '%APPDATA%\krieg\krieg.exe' /pid=5728
- '%APPDATA%\krieg\krieg.exe' /pid=4704
- '%APPDATA%\krieg\krieg.exe' /pid=4404
- '%APPDATA%\krieg\krieg.exe' /pid=3844
- '%APPDATA%\krieg\krieg.exe' /pid=5556
- '%APPDATA%\krieg\krieg.exe' /pid=5636
- '%APPDATA%\krieg\krieg.exe' /pid=2944
- '%APPDATA%\krieg\krieg.exe' /pid=4904
- '%APPDATA%\krieg\krieg.exe' /pid=5740
- '%APPDATA%\krieg\krieg.exe' /pid=5920
- '%APPDATA%\krieg\krieg.exe' -a solid -o http://1P##############ZL2mygXE3Y4CwavmiE:@mining.eligius.st:8337 -T 83 -l yes
- '%APPDATA%\krieg\krieg.exe' /pid=5748
- '%APPDATA%\krieg\krieg.exe' /pid=5648
- '%APPDATA%\krieg\krieg.exe' /pid=5384
- '%APPDATA%\krieg\krieg.exe' /pid=5960
- '%APPDATA%\krieg\krieg.exe' /pid=5668
- '%APPDATA%\krieg\krieg.exe' /pid=2512
- '%APPDATA%\krieg\krieg.exe' /pid=5940
- '%APPDATA%\krieg\krieg.exe' /pid=5084
- '%APPDATA%\krieg\krieg.exe' /pid=6008
- '%APPDATA%\krieg\krieg.exe' /pid=4604
- '%APPDATA%\krieg\krieg.exe' /pid=4184
- '%APPDATA%\krieg\krieg.exe' /pid=5908
- '%APPDATA%\krieg\krieg.exe' /pid=3012
- '%APPDATA%\krieg\krieg.exe' /pid=792
- '%APPDATA%\krieg\krieg.exe' /pid=5564
- '%APPDATA%\krieg\krieg.exe' /pid=3772
- '%APPDATA%\krieg\krieg.exe' /pid=2736
- '%APPDATA%\krieg\krieg.exe' /pid=4536
- '%APPDATA%\krieg\krieg.exe' /pid=5136
- '%APPDATA%\krieg\krieg.exe' /pid=5820
- '%APPDATA%\krieg\krieg.exe' /pid=5800
- '%APPDATA%\krieg\krieg.exe' /pid=5988
- '%APPDATA%\krieg\krieg.exe' /pid=5720
- '%APPDATA%\krieg\krieg.exe' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\krieg\krieg.exe
Самоперемещается:
- из <Полный путь к вирусу> в %APPDATA%\krieg\vkrieg.exe
Сетевая активность:
Подключается к:
- '19#.#3.167.160':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- 19#.#3.167.160/sil1001/UFA.exe
- wp#d/wpad.dat
UDP:
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
