Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%HOMEPATH%\%USERNAME%1\winlogon.exe'
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Завершает или пытается завершить
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\VERSION[1].TXT
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\VERSION[1].TXT
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\VERSION[1].TXT
- %HOMEPATH%\%USERNAME%1\winlogon.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\VERSION[1].TXT
- %HOMEPATH%\%USERNAME%1\VERSION.TXT
Удаляет следующие файлы:
- %HOMEPATH%\%USERNAME%1\VERSION.TXT
Сетевая активность:
Подключается к:
- 'p-###############################-d-q-m-m-5-8-o-a-g-2-1-9-b-c-.0-0-0-0-0-0-??-0-0-0-0-0-0-13-0-0-0-0-0-0??0-0-0-0-0-0-0.??nfo':80
- '8-###############################-g-p-8-6-7-t-9-d-2-z-n-s-9-0-.0-0-0-0-0-0-??-0-0-0-0-0-0-52-0-0-0-0-0-0??0-0-0-0-0-0-0.??nfo':80
- '6-###############################-d-f-g-3-4-8-2-z-o-3-4-5-k-p-.0-0-0-0-0-0-??-0-0-0-0-0-0-15-0-0-0-0-0-0??0-0-0-0-0-0-0.??nfo':80
- 'localhost':1035
- 'p-###############################-7-3-7-1-z-w-7-k-2-x-a-a-e-a-.0-0-0-0-0-0-??-0-0-0-0-0-0-59-0-0-0-0-0-0??0-0-0-0-0-0-0.??nfo':80
TCP:
Запросы HTTP GET:
- p-###############################-d-q-m-m-5-8-o-a-g-2-1-9-b-c-.0-0-0-0-0-0-??-0-0-0-0-0-0-13-0-0-0-0-0-0??0-0-0-0-0-0-0.??nfo/VERSION.TXT
- 8-###############################-g-p-8-6-7-t-9-d-2-z-n-s-9-0-.0-0-0-0-0-0-??-0-0-0-0-0-0-52-0-0-0-0-0-0??0-0-0-0-0-0-0.??nfo/VERSION.TXT
- p-###############################-7-3-7-1-z-w-7-k-2-x-a-a-e-a-.0-0-0-0-0-0-??-0-0-0-0-0-0-59-0-0-0-0-0-0??0-0-0-0-0-0-0.??nfo/VERSION.TXT
- 6-###############################-d-f-g-3-4-8-2-z-o-3-4-5-k-p-.0-0-0-0-0-0-??-0-0-0-0-0-0-15-0-0-0-0-0-0??0-0-0-0-0-0-0.??nfo/VERSION.TXT
UDP:
- DNS ASK p-###############################-d-q-m-m-5-8-o-a-g-2-1-9-b-c-.0-0-0-0-0-0-ї-0-0-0-0-0-0-13-0-0-0-0-0-0ў0-0-0-0-0-0-0ж.fo
- DNS ASK 8-###############################-g-p-8-6-7-t-9-d-2-z-n-s-9-0-.0-0-0-0-0-0-ї-0-0-0-0-0-0-52-0-0-0-0-0-0ў0-0-0-0-0-0-0ж.fo
- DNS ASK p-###############################-7-3-7-1-z-w-7-k-2-x-a-a-e-a-.0-0-0-0-0-0-ї-0-0-0-0-0-0-59-0-0-0-0-0-0ў0-0-0-0-0-0-0ж.fo
- DNS ASK 6-###############################-d-f-g-3-4-8-2-z-o-3-4-5-k-p-.0-0-0-0-0-0-ї-0-0-0-0-0-0-15-0-0-0-0-0-0ў0-0-0-0-0-0-0ж.fo
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'setup'
