Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bkerhutj.exe' = '%HOMEPATH%/AppWm/bkerhutj.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'eekwmvko.exe' = '%HOMEPATH%/AppWm/eekwmvko.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ybowgypl.exe' = '%HOMEPATH%/AppWm/ybowgypl.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'rgvlkdmf.exe' = '%HOMEPATH%/AppWm/rgvlkdmf.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'rrnuynxa.exe' = '%HOMEPATH%/AppWm/rrnuynxa.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'inaagwgk.exe' = '%HOMEPATH%/AppWm/inaagwgk.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'kuibjcog.exe' = '%HOMEPATH%/AppWm/kuibjcog.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %HOMEPATH%\AppWm\bkerhutj.exe (загружен из сети Интернет)
- %HOMEPATH%\AppWm\eekwmvko.exe (загружен из сети Интернет)
- %HOMEPATH%\AppWm\ybowgypl.exe (загружен из сети Интернет)
- %HOMEPATH%\AppWm\rgvlkdmf.exe (загружен из сети Интернет)
- %HOMEPATH%\AppWm\rrnuynxa.exe (загружен из сети Интернет)
- %HOMEPATH%\AppWm\inaagwgk.exe (загружен из сети Интернет)
- %HOMEPATH%\AppWm\kuibjcog.exe (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\AppWm\bkerhutj.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\fav5[1].png
- %HOMEPATH%\AppWm\rgvlkdmf.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\fav6[1].png
- %HOMEPATH%\AppWm\ybowgypl.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\fav7[1].png
- %HOMEPATH%\AppWm\eekwmvko.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\fav2[1].png
- %HOMEPATH%\AppWm\rrnuynxa.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\fav1[1].png
- %HOMEPATH%\AppWm\inaagwgk.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\fav4[1].png
- %HOMEPATH%\AppWm\kuibjcog.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\fav3[1].png
Сетевая активность:
Подключается к:
- 'ne#####esigner.com.br':80
TCP:
Запросы HTTP GET:
- ne#####esigner.com.br/global/fav5.png
- ne#####esigner.com.br/global/fav6.png
- ne#####esigner.com.br/global/fav7.png
- ne#####esigner.com.br/global/fav4.png
- ne#####esigner.com.br/global/fav1.png
- ne#####esigner.com.br/global/fav2.png
- ne#####esigner.com.br/global/fav3.png
UDP:
- DNS ASK ne#####esigner.com.br
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
