Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss.exe' = '%APPDATA%\csrss.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:csrss'
Создает и запускает на исполнение:
- "%TEMP%\CzTmgpJjvg.exe" (загружен из сети Интернет)
- "%TEMP%\PPrRWFXZvZ.exe" (загружен из сети Интернет)
- "%TEMP%\ZxVBWryifa.exe" (загружен из сети Интернет)
- "%TEMP%\hBQSIlYCgH.exe" (загружен из сети Интернет)
- "%TEMP%\uQwwgblsfa.exe" (загружен из сети Интернет)
- "%TEMP%\hLwAtLxFus.exe" (загружен из сети Интернет)
- "%TEMP%\KkzvJobMjS.exe" (загружен из сети Интернет)
- "%TEMP%\aFYkVwZQsf.exe" (загружен из сети Интернет)
- "%TEMP%\XvBRtYookz.exe" (загружен из сети Интернет)
- "%TEMP%\UtVfJBlvut.exe" (загружен из сети Интернет)
- "%TEMP%\kouuVJAyky.exe" (загружен из сети Интернет)
- "%TEMP%\RGrcwdiQpu.exe" (загружен из сети Интернет)
- "%TEMP%\sfmeWXtGwK.exe" (загружен из сети Интернет)
- "%TEMP%\vHkqGUEImQ.exe" (загружен из сети Интернет)
- "%TEMP%\xZjBFtpzhk.exe" (загружен из сети Интернет)
- "%TEMP%\EnhRVhGoay.exe" (загружен из сети Интернет)
- "%TEMP%\ruGvtxTEiQ.exe" (загружен из сети Интернет)
- "%TEMP%\IPRuWkrymi.exe" (загружен из сети Интернет)
- "%TEMP%\bwUmvQKgzv.exe" (загружен из сети Интернет)
- "%TEMP%\eYSYgNvAqB.exe" (загружен из сети Интернет)
- "%TEMP%\VKrYjUwLbb.exe" (загружен из сети Интернет)
- "%TEMP%\LrOoGiUsuo.exe" (загружен из сети Интернет)
- "%TEMP%\QgnTxyIiup.exe" (загружен из сети Интернет)
- "%TEMP%\MvBVTttPtP.exe" (загружен из сети Интернет)
- "%TEMP%\rcisjJhfsi.exe" (загружен из сети Интернет)
- "%TEMP%\pACGHleLcc.exe" (загружен из сети Интернет)
- "%TEMP%\WDfXTfdGdJ.exe" (загружен из сети Интернет)
- "%TEMP%\JTebjvqWcJ.exe" (загружен из сети Интернет)
- "%TEMP%\fsgWHZudsj.exe" (загружен из сети Интернет)
- "%TEMP%\AQjzgCgCHI.exe" (загружен из сети Интернет)
- "%TEMP%\QigQgqeuXh.exe" (загружен из сети Интернет)
- "%TEMP%\VBdVINsNiH.exe" (загружен из сети Интернет)
- "%TEMP%\UegmUHShjo.exe" (загружен из сети Интернет)
- "%TEMP%\hUEqkXFXip.exe" (загружен из сети Интернет)
- "%TEMP%\jwGsVpqqdq.exe" (загружен из сети Интернет)
- "%TEMP%\TqBvGiabyr.exe" (загружен из сети Интернет)
- "%TEMP%\YgzZwYoryK.exe" (загружен из сети Интернет)
- "%TEMP%\gjcYisnlzr.exe" (загружен из сети Интернет)
- "%TEMP%\NMxPtmMGaY.exe" (загружен из сети Интернет)
- "%TEMP%\sUWtKcAWzY.exe" (загружен из сети Интернет)
- "%TEMP%\wAYOiGDDpx.exe" (загружен из сети Интернет)
- "%TEMP%\GmbZTRfonk.exe" (загружен из сети Интернет)
- "%TEMP%\TbZdjhSemD.exe" (загружен из сети Интернет)
- "%TEMP%\bfccuBrynj.exe" (загружен из сети Интернет)
- "%TEMP%\BIxtGWrToQ.exe" (загружен из сети Интернет)
- "%TEMP%\OXEXwMeJoR.exe" (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\load[8].php
- %TEMP%\ZxVBWryifa.exe
- %TEMP%\CzTmgpJjvg.exe
- %TEMP%\PPrRWFXZvZ.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\load[8].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[9].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\load[9].php
- %TEMP%\RGrcwdiQpu.exe
- %TEMP%\hBQSIlYCgH.exe
- %TEMP%\uQwwgblsfa.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\load[9].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\load[8].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\load[7].php
- %TEMP%\XvBRtYookz.exe
- %TEMP%\KkzvJobMjS.exe
- %TEMP%\aFYkVwZQsf.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[7].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\load[7].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[8].php
- %TEMP%\hLwAtLxFus.exe
- %TEMP%\UtVfJBlvut.exe
- %TEMP%\kouuVJAyky.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\load[7].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\load[9].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\load[11].php
- %TEMP%\xZjBFtpzhk.exe
- %TEMP%\sfmeWXtGwK.exe
- %TEMP%\vHkqGUEImQ.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\load[11].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[12].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\load[12].php
- %TEMP%\oSIBJzqksK.exe
- %TEMP%\EnhRVhGoay.exe
- %TEMP%\ruGvtxTEiQ.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\load[12].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\load[11].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\load[10].php
- %TEMP%\VKrYjUwLbb.exe
- %TEMP%\bwUmvQKgzv.exe
- %TEMP%\eYSYgNvAqB.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[10].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\load[10].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[11].php
- %TEMP%\IPRuWkrymi.exe
- %TEMP%\LrOoGiUsuo.exe
- %TEMP%\QgnTxyIiup.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\load[10].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\load[6].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\load[2].php
- %TEMP%\MvBVTttPtP.exe
- %TEMP%\rcisjJhfsi.exe
- %TEMP%\fsgWHZudsj.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\load[2].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[3].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\load[3].php
- %TEMP%\WDfXTfdGdJ.exe
- %TEMP%\JTebjvqWcJ.exe
- %TEMP%\pACGHleLcc.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\load[3].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\load[2].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\load[1].php
- %TEMP%\AQjzgCgCHI.exe
- %TEMP%\QigQgqeuXh.exe
- %APPDATA%\csrss.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\load[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[2].php
- %TEMP%\UegmUHShjo.exe
- %TEMP%\hUEqkXFXip.exe
- %TEMP%\VBdVINsNiH.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\load[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\load[3].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\load[5].php
- %TEMP%\TqBvGiabyr.exe
- %TEMP%\YgzZwYoryK.exe
- %TEMP%\wAYOiGDDpx.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\load[5].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[6].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\load[6].php
- %TEMP%\NMxPtmMGaY.exe
- %TEMP%\sUWtKcAWzY.exe
- %TEMP%\gjcYisnlzr.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\load[6].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\load[5].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\load[4].php
- %TEMP%\GmbZTRfonk.exe
- %TEMP%\TbZdjhSemD.exe
- %TEMP%\jwGsVpqqdq.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[4].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\load[4].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\load[5].php
- %TEMP%\BIxtGWrToQ.exe
- %TEMP%\OXEXwMeJoR.exe
- %TEMP%\bfccuBrynj.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\load[4].php
Сетевая активность:
Подключается к:
- 'ko##oval.in':80
- 'ho##vod.in':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- ko##oval.in/soft/load.php?id########################################################
- ho##vod.in/soft/load.php?id########################################################
UDP:
- DNS ASK ko##oval.in
- DNS ASK ho##vod.in
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
