Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\{4A416169-03C1-6997-C575-1B7AA70CCB67}.job
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Identities\{5518F2FB-DB74-45A3-BEC1-4575D8D9DC84}\unnxwty.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\messengerservice]
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Identities\{5518F2FB-DB74-45A3-BEC1-4575D8D9DC84}\unnxwty.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Tasks\{4A416169-03C1-6997-C575-1B7AA70CCB67}.job
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\report[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\report[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\report[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\report[1].htm
Сетевая активность:
Подключается к:
- 'te##2.com':80
- 'te##1.com':80
- 'ro##.#rqadas.biz':80
TCP:
Запросы HTTP POST:
- te##2.com/report.php
- te##1.com/report.php
- ro##.#rqadas.biz/report.php
UDP:
- DNS ASK te##2.com
- DNS ASK te##1.com
- DNS ASK ro##.#rqadas.biz
