Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{B42A68FF-C40C-4B21-4B15-54DB7AF9F40B}' = '"%APPDATA%\Piqep\beow.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\Piqep\beow.exe
Запускает на исполнение:
- <SYSTEM32>\dumprep.exe 1576 -dm 7 7 "%TEMP%\WEReebe.dir00\explorer.exe.mdmp" 16325836412028364
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\ctfmon.exe
- %WINDIR%\Explorer.EXE
следующие пользовательские процессы:
- avgcc.exe
- ashAvSrv.exe
- AVGCC32.EXE
- AVP.COM
- AVGCTRL.EXE
- ageofconan.exe
- __cd75efb816b2cc__.exe
- aion.exe
- ashAvast.exe
- ash.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1406' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2] '1609' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1609' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\ajax[1].jsp
- %APPDATA%\Ubiqri\upheu.ahu
- %APPDATA%\Piqep\beow.exe
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\ajax[1].jsp
Сетевая активность:
Подключается к:
- 'to##plan.ru':80
TCP:
Запросы HTTP GET:
- to##plan.ru/ajax.jsp?v=#
UDP:
- DNS ASK to##plan.ru
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
