Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '' = 'system.bat'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MiXedVeX' = '%WINDIR%\MiXedVeX.bat'
Вредоносные функции:
Запускает на исполнение:
- <SYSTEM32>\tskill.exe av*
- <SYSTEM32>\tskill.exe ad-aware
- <SYSTEM32>\reg.exe add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v MiXedVeX /t REG_SZ /d %WINDIR%\MiXedVeX.bat /f
- %WINDIR%\regedit.exe /s dropper.reg
- <SYSTEM32>\shutdown.exe -r -t 1
- <SYSTEM32>\tskill.exe AVGUARD
- <SYSTEM32>\cmd.exe /c ""%TEMP%\1.tmp\dx.bat" "
- <SYSTEM32>\tskill.exe AVGNT
- <SYSTEM32>\tskill.exe KAV
- <SYSTEM32>\tskill.exe NMAIN
Завершает или пытается завершить
следующие пользовательские процессы:
- AVPCC.EXE
- AVP32.EXE
- AVSYNMGR.EXE
- AVPM.EXE
- AVP.EXE
- AVGCC32.EXE
- avgcc.exe
- AVP.COM
- AVGCTRL.EXE
Пытается завершить работу операционной системы Windows.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1.tmp\dropper.reg
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\yt118[1]
- %WINDIR%\system.bat
- %TEMP%\1.tmp\dx.bat
- %WINDIR%\MiXedVeX.bat
- %TEMP%\1.tmp\dx.exe
Сетевая активность:
Подключается к:
- 'www.te###louds.com':80
- 'www.yt##8.com':80
- 'www.wh###-pages.ws':80
- 'se####.#adyboyplayer.com':80
- 'jo##.##dyboygold.com':80
- 'www.fa####ticfilms.ru':80
- 'localhost':1049
- 'jo##.##emalejapan.com':80
- 'www.fr####rnbest.com':80
- 'www.pe#o.ws':80
- 'localhost':1034
- 'jo##.##girlfriends.com':80
- 'jo##.###yboy-ladyboy.com':80
- 'www.st###xxpics.com':80
- 'www.po###snuker.com':80
- 'jo##.####boysfuckedbareback.com':80
TCP:
Запросы HTTP GET:
- www.fr####rnbest.com/
- jo##.##girlfriends.com/track/NDI1Mzo5OjE1/
- www.yt##8.com/
UDP:
- DNS ASK www.te###louds.com
- DNS ASK www.yt##8.com
- DNS ASK www.wh###-pages.ws
- DNS ASK se####.#adyboyplayer.com
- DNS ASK jo##.##emalejapan.com
- DNS ASK www.li###aoke.com
- DNS ASK www.ba###dhost.net
- DNS ASK jo##.##dyboygold.com
- DNS ASK www.fa####ticfilms.ru
- DNS ASK www.pe#o.ws
- DNS ASK www.po###snuker.com
- DNS ASK jo##.##girlfriends.com
- DNS ASK www.fr####rnbest.com
- DNS ASK jo##.###yboy-ladyboy.com
- DNS ASK www.st###xxpics.com
- DNS ASK jo##.####boysfuckedbareback.com
- '<IP-адрес в локальной сети>':1036
- '<IP-адрес в локальной сети>':1040
- '<IP-адрес в локальной сети>':1035
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
