Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'jusched' = '%WINDIR%\igfxsrvc.exeSOFTWARE\Microsoft\Windows\CurrentVersion\run'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\jusched.exe' (загружен из сети Интернет)
- '%WINDIR%\igfxsrvc.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '%WINDIR%\igfxsrvc.exe'
- '%WINDIR%\jusched.exe'
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\run /v jusched /t REG_SZ /d %WINDIR%\igfxsrvc.exeSOFTWARE\Microsoft\Windows\CurrentVersion\run
- '<SYSTEM32>\reg.exe' add HKLM\ /v jusched /t REG_SZ /d %WINDIR%\jusched.exe
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\jusched.exe
- %WINDIR%\igfxsrvc.exe
Сетевая активность:
Подключается к:
- 'rk#######kaus.freehostia.com':80
TCP:
Запросы HTTP GET:
- http://rk#######kaus.freehostia.com/log.php via rk#######kaus.freehostia.com
- http://rk#######kaus.freehostia.com/2 via rk#######kaus.freehostia.com
- http://rk#######kaus.freehostia.com/1 via rk#######kaus.freehostia.com
UDP:
- DNS ASK rk#######kaus.freehostia.com
