Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'runads' = '<SYSTEM32>\runads.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'miniads' = '<SYSTEM32>\miniads.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\miniads.exe'
- '<SYSTEM32>\runads.exe'
- '<Текущая директория>\CFPRO.EXE'
- '<Текущая директория>\1.exe'
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' InetCpl.cpl,ClearMyTracksByProcess 8
- '<SYSTEM32>\taskkill.exe' /f /im CFPRO.exe
- '<SYSTEM32>\cmd.exe' /c go1.bat
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: '' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
- ClassName: '' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass' WindowName: ''
- ClassName: '' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'GBDYLLO' WindowName: ''
- ClassName: 'OLLYDBG' WindowName: ''
- ClassName: 'FilemonClass' WindowName: ''
- ClassName: 'pediy06' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\1.exe
- <SYSTEM32>\miniads.exe
- <SYSTEM32>\runads.exe
- <Текущая директория>\CFPRO.EXE
- <Текущая директория>\go1.bat
Удаляет следующие файлы:
- %TEMP%\~DF5D33.tmp
- %TEMP%\~DF6D8B.tmp
- %TEMP%\~DFA4FA.tmp
- <Текущая директория>\CFPRO.EXE
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'localhost':1041
- 'us###.vinacf.com':80
- 'lh#.####leusercontent.com':443
- 'localhost':1037
- 'cf######07.googlecode.com':80
- 'as######dsad.googlecode.com':80
TCP:
Запросы HTTP GET:
- us###.vinacf.com/
- as######dsad.googlecode.com/svn/trunk/newrent.txt
- cf######07.googlecode.com/svn/trunk/VINACF.HTML
UDP:
- DNS ASK us###.vinacf.com
- DNS ASK lh#.####leusercontent.com
- DNS ASK cf######07.googlecode.com
- DNS ASK as######dsad.googlecode.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'Message from webpage'
- ClassName: '' WindowName: 'Web Browser'
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: 'ADF'
- ClassName: '' WindowName: 'X-Patch'
- ClassName: '' WindowName: 'CrossFire'
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'ThunderRT6FormDC' WindowName: 'CROSSFIRE TOOL'
