Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\autorun.inf
- <Имя диска съемного носителя>:\usbhelp.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\57812.exe'
- '%TEMP%\24175.exe'
- '%TEMP%\36187.exe'
- '%TEMP%\82180.exe'
- '%TEMP%\56133.exe'
- '%TEMP%\34041.exe'
- '%TEMP%\74654.exe'
- '%TEMP%\73562.exe'
- '%TEMP%\86745.exe'
- '%TEMP%\68304.exe'
- '%TEMP%\86242.exe'
- '%TEMP%\7772.exe'
- '%TEMP%\50768.exe'
- '%TEMP%\32207.exe'
- '%TEMP%\76787.exe'
- '%TEMP%\74654.exe' (загружен из сети Интернет)
- '%TEMP%\86242.exe' (загружен из сети Интернет)
- '%TEMP%\68304.exe' (загружен из сети Интернет)
- '%TEMP%\34041.exe' (загружен из сети Интернет)
- '%TEMP%\76787.exe' (загружен из сети Интернет)
- '%TEMP%\73562.exe' (загружен из сети Интернет)
- '%TEMP%\86745.exe' (загружен из сети Интернет)
- '%TEMP%\56133.exe' (загружен из сети Интернет)
- '%TEMP%\7772.exe' (загружен из сети Интернет)
- '%TEMP%\50768.exe' (загружен из сети Интернет)
- '%TEMP%\82180.exe' (загружен из сети Интернет)
- '%TEMP%\32207.exe' (загружен из сети Интернет)
- '%TEMP%\24175.exe' (загружен из сети Интернет)
- '%TEMP%\36187.exe' (загружен из сети Интернет)
- '%TEMP%\57812.exe' (загружен из сети Интернет)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\24175.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\11[1].ico
- %TEMP%\86745.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\10[1].ico
- %TEMP%\36187.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\9[1].ico
- %TEMP%\57812.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\12[1].ico
- %TEMP%\34041.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\15[1].ico
- %TEMP%\74654.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\14[1].ico
- %TEMP%\68304.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\13[1].ico
- %TEMP%\73562.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\8[1].ico
- %TEMP%\86242.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\3[1].ico
- %TEMP%\32207.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\2[1].ico
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\usb[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\1[1].ico
- %TEMP%\76787.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\4[1].ico
- %TEMP%\82180.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\7[1].ico
- %TEMP%\56133.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\6[1].ico
- %TEMP%\7772.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\5[1].ico
- %TEMP%\50768.exe
Сетевая активность:
Подключается к:
- 'ma####rents.info':80
TCP:
Запросы HTTP GET:
- ma####rents.info/payloads/10.ico
- ma####rents.info/payloads/11.ico
- ma####rents.info/payloads/8.ico
- ma####rents.info/payloads/9.ico
- ma####rents.info/payloads/14.ico
- ma####rents.info/payloads/15.ico
- ma####rents.info/payloads/12.ico
- ma####rents.info/payloads/13.ico
- ma####rents.info/payloads/2.ico
- ma####rents.info/payloads/3.ico
- ma####rents.info/usb.php?ms#########################
- ma####rents.info/payloads/1.ico
- ma####rents.info/payloads/6.ico
- ma####rents.info/payloads/7.ico
- ma####rents.info/payloads/4.ico
- ma####rents.info/payloads/5.ico
UDP:
- DNS ASK ma####rents.info
