Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\u1201a\u1201a.exe
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe /s sysVistal.dll
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: '' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
- ClassName: '' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass' WindowName: ''
- ClassName: '' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'GBDYLLO' WindowName: ''
- ClassName: 'OLLYDBG' WindowName: ''
- ClassName: 'FilemonClass' WindowName: ''
- ClassName: 'pediy06' WindowName: ''
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = '127.0.0.1:9666'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '127.0.0.1'
- [<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1C00' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'CurrentLevel' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\u1201a\utmp\Pmkbnvrwwlwr9w1x
- %TEMP%\u1201a\utmp\Xhdylzuipgio9w3f
- <SYSTEM32>\sysVistal.dll
- %TEMP%\u1201a\utmp\Fkfhcbkxzmxr0a5s
- %TEMP%\u1201a\utmp\Rcwgjsvtuftt0m8v
- %TEMP%\u1201a\utmp\Nfjnafajvmjo0h7a
- %TEMP%\aut2.tmp
- %TEMP%\u1201a\key.bat
- %TEMP%\aut1.tmp
- %TEMP%\u1201a\u1201a.exe
- %TEMP%\aut3.tmp
- %TEMP%\u1201a\sysVistal.dll
Удаляет следующие файлы:
- %TEMP%\aut3.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
Сетевая активность:
Подключается к:
- '46##53.com':80
- 'go##le.biz':80
- 'go###e.co.nz':80
- '20#.#4.241.68':443
- '15#.#47.80.132':443
- 'localhost':9999
- 'go###e.co.ck':80
- 's3.###zonaws.com':443
- 'www.na#####lege.navy.mil':443
- '20#.#6.232.182':443
- 'go##le.pl':80
- 'go##le.ru':80
- 'go##le.tm':80
TCP:
Запросы HTTP GET:
- go###e.co.nz/gwt/n?u=#####################################################################
- go##le.biz/gwt/n?u=#######################################################################################
- 46##53.com/gwt/n?u=######################################################################
- go###e.co.ck/gwt/n?u=#############################################################################
- go##le.tm/gwt/n?u=#######################################################################################
- go##le.ru/gwt/n?u=#########################################################
- go##le.pl/gwt/n?u=###########################################################################
UDP:
- DNS ASK go##le.pl
- DNS ASK go##le.ru
- DNS ASK go##le.tm
- DNS ASK go###e.co.ck
- DNS ASK 46##53.com
- DNS ASK go##le.biz
- DNS ASK go###e.co.nz
- DNS ASK lh###dj.info
- DNS ASK wc##vh.info
- DNS ASK tv##s.info
- DNS ASK tl###py.info
- DNS ASK s3.###zonaws.com
- DNS ASK www.na#####lege.navy.mil
- DNS ASK mv#.####ort.microsoft.com
- '12#.#2.54.204':14063
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '18467-41' WindowName: ''
