Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\monter.FM\CharConv.exe' = '%APPDATA%\monter.FM\CharConv.exe:*:Enabled:Character Set Converter'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:Character Set Converter'
Создает и запускает на исполнение:
- '%APPDATA%\monter.FM\CharConv.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall set allowedprogram "%APPDATA%\monter.FM\CharConv.exe" "Character Set Converter" ENABLE
- '<SYSTEM32>\ftp.exe' -s:%TEMP%\CharConv.ftp
- '<SYSTEM32>\ping.exe' -n 1 autoitscript.com
- '<SYSTEM32>\netsh.exe' firewall set allowedprogram "<Полный путь к вирусу>" "Character Set Converter" ENABLE
- '<SYSTEM32>\ping.exe' -n 4 autoitscript.com
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\CharConv_monter.FM_20140423174534.gif
- %TEMP%\aut9.tmp
- %APPDATA%\monter.FM\CharConv.english.lng
- %TEMP%\aut8.tmp
- %TEMP%\CharConv_20140423174534.ico
- %TEMP%\aut7.tmp
- %TEMP%\CharConv_20140423174534.bmp
- %TEMP%\autA.tmp
- %TEMP%\CharConv.sta
- %TEMP%\CharConv.ftp
- %APPDATA%\monter.FM\CharConv.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\displaymyip[1].59503637184
- %APPDATA%\monter.FM\CharConv.polski.lng
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\adres-ip[1].4951939278
- %TEMP%\~ip.tmp
- %TEMP%\aut3.tmp
- %TEMP%\CharConv_monter.FM_20140423174435.gif
- %TEMP%\aut4.tmp
- %TEMP%\CharConv_20140423174435.bmp
- %TEMP%\aut1.tmp
- %TEMP%\CharConv_20140423174435.ico
- %TEMP%\aut2.tmp
- <Текущая директория>\CharConv.english.lng
- %HOMEPATH%\Desktop\ČharConvěr.lnk
- %TEMP%\CharConv.bat
- %TEMP%\aut6.tmp
- %HOMEPATH%\Start Menu\Programs\monter.FM\ČharConvěr.lnk
- %TEMP%\aut5.tmp
- <Текущая директория>\CharConv.polski.lng
- %APPDATA%\monter.FM\CharConv.exe
Удаляет следующие файлы:
- %TEMP%\aut8.tmp
- %TEMP%\CharConv.bat
- %TEMP%\aut6.tmp
- %TEMP%\aut7.tmp
- %TEMP%\aut9.tmp
- %TEMP%\CharConv.sta
- %TEMP%\CharConv.ftp
- %TEMP%\autA.tmp
- %TEMP%\~ip.tmp
- %TEMP%\CharConv_20140423174435.bmp
- %TEMP%\aut3.tmp
- %TEMP%\aut4.tmp
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut5.tmp
- %TEMP%\CharConv_monter.FM_20140423174435.gif
- %TEMP%\CharConv_20140423174435.ico
- <Текущая директория>\CharConv.english.lng
- <Текущая директория>\CharConv.polski.lng
Самоудаляется.
Сетевая активность:
Подключается к:
- 'localhost':1040
- 'mo####.homeip.net':21
- 'www.ad##s-ip.pl':80
- 'www.di###aymyip.com':80
TCP:
Запросы HTTP GET:
- www.di###aymyip.com/?rn########################################
- www.ad##s-ip.pl/?rn#########################################
UDP:
- DNS ASK www.di###aymyip.com
- DNS ASK mo####.homeip.net
- DNS ASK au####script.com
- DNS ASK www.ad##s-ip.pl
Другое:
Ищет следующие окна:
- ClassName: 'BUTTON' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
