Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SonyAgent' = '<Полный путь к вирусу>'
Вредоносные функции:
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\BPFTP\Bullet Proof FTP\Options]
- [<HKCU>\Software\BulletProof Software\BulletProof FTP Client\Options]
- [<HKCU>\Software\BulletProof Software\BulletProof FTP Client\Main]
- [<HKLM>\Software\FlashFXP\3]
- [<HKCU>\Software\BPFTP\Bullet Proof FTP\Main]
- [<HKCU>\Software\BPFTP]
- [<HKCU>\Software\South River Technologies\WebDrive\Connections]
- [<HKCU>\Software\FTP Explorer\Profiles]
- [<HKCU>\Software\FTPWare\COREFTP\Sites]
- [<HKCU>\Software\Martin Prikryl\WinSCP 2\Sessions]
- [<HKCU>\Software\Sota\FFFTP\Options]
- [<HKLM>\Software\FlashFXP]
- [<HKCU>\Software\Far\SavedDialogHistory\FTPHost]
- [<HKCU>\Software\Far2\SavedDialogHistory\FTPHost]
- [<HKCU>\SOFTWARE\Far2\Plugins\FTP\Hosts]
- [<HKCU>\SOFTWARE\Microsoft\MessengerService]
- [<HKCU>\SOFTWARE\Far\Plugins\FTP\Hosts]
- [<HKCU>\Software\Ghisler\Windows Commander]
- [<HKCU>\Software\FlashFXP]
- [<HKCU>\Software\FlashFXP\3]
- [<HKLM>\Software\Ghisler\Total Commander]
- [<HKCU>\Software\Ghisler\Total Commander]
- [<HKLM>\Software\Ghisler\Windows Commander]
Изменения в файловой системе:
Создает следующие файлы:
- <DRIVERS>\npf.sys
- <SYSTEM32>\wpcap.dll
- <SYSTEM32>\Packet.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- <Полный путь к вирусу>
Сетевая активность:
Подключается к:
- '17#.#65.59.37':80
- 'localhost':1076
- 'localhost':1079
- 'localhost':1082
- '79.##2.171.7':80
- 'localhost':1070
- '91.##0.57.14':80
- '93.##5.175.121':80
- '84.#0.210.5':80
- 'localhost':1073
- '83.#3.99.94':80
- 'localhost':1091
- 'localhost':1094
- '37.##.231.22':80
- '10#.#54.53.226':80
- 'localhost':1085
- '89.##5.137.51':80
- '89.##9.73.141':80
- '93.##4.166.23':80
- 'localhost':1088
- 'localhost':1067
- 'localhost':1046
- '89.##5.223.5':80
- '93.##1.250.55':80
- '93.#05.57.2':80
- 'localhost':1049
- '84.##4.202.146':80
- 'localhost':1037
- 'localhost':1040
- 'localhost':1043
- '79.##5.139.40':80
- 'localhost':1061
- '93.##6.226.4':80
- '21#.#75.82.69':80
- '88.##6.111.183':80
- 'localhost':1064
- '85.##7.166.33':80
- 'localhost':1052
- 'localhost':1055
- 'localhost':1058
- '17#.#6.189.107':80
TCP:
Запросы HTTP GET:
- 37.##.231.22/search.htm
