Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '2efce6' = 'C:\Documents and Settings\%USERNAME%\Application Data\2efce6\6b507915a.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение:
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\explorer.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP14\RestorePointSize
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP14\rp.log
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\RestorePointSize
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\rp.log
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP13\RestorePointSize
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP12\rp.log
- C:\Documents and Settings\%USERNAME%\Application Data\2efce6\6b507915a.exe
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP13\rp.log
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP12\RestorePointSize
Сетевая активность:
Подключается к:
- 'sa####esummit.com':80
- 'mu####uvi.com.br':80
- 'tr#.su':80
- 'ev###twork.ro':80
- 'la##ier.cn':80
- 'dr##ram.ro':80
- 'be##r.net':80
- 'op###nwin.tk':80
- 'we###team.hu':80
- 'ho###herren.de':80
- 'de####.3dstyle.in.ua':80
- 'ef#####tanesi.com.tr':80
- 'zo###oncept.org':80
- 'mj##tos.de':80
- 'wi#####najayaabadi.com':80
- 'em###sworld.us':80
- 'ri###lstone.kz':80
- 'td#.in.ua':80
- 'ex###tiza.info':80
- 'ma##inki.eu':80
TCP:
Запросы HTTP POST:
- http://sa####esummit.com/8AqU4l.php?d=###############
- http://mu####uvi.com.br/mfv2TI.php?i=###############
- http://tr#.su/fN1iuE.php?p=###############
- http://ev###twork.ro/0XO231.php?t=###############
- http://la##ier.cn/dkaLQe.php?m=###############
- http://dr##ram.ro/CcT8oy.php?h=###############
- http://be##r.net/y48WzV.php?b=###############
- http://op###nwin.tk/HtluAy.php?m=###############
- http://we###team.hu/WCTdO5.php?g=###############
- http://ho###herren.de/kFIy3A.php?f=###############
- http://de####.3dstyle.in.ua/i34zIW.php?n=###############
- http://ef#####tanesi.com.tr/Miwa0O.php?q=###############
- http://zo###oncept.org/cJySha.php?i=###############
- http://mj##tos.de/yoAM3Z.php?e=###############
- http://wi#####najayaabadi.com/mkYJHW.php?v=###############
- http://em###sworld.us/Pd3MDR.php?w=###############
- http://ri###lstone.kz/9PAI_h.php?z=###############
- http://td#.in.ua/ZBVi09.php?u=###############
- http://ex###tiza.info/FNCul0.php?i=###############
- http://ma##inki.eu/dvR5rn.php?i=###############
UDP:
- DNS ASK sa####esummit.com
- DNS ASK mu####uvi.com.br
- DNS ASK tr#.su
- DNS ASK ev###twork.ro
- DNS ASK la##ier.cn
- DNS ASK dr##ram.ro
- DNS ASK be##r.net
- DNS ASK op###nwin.tk
- DNS ASK we###team.hu
- DNS ASK ho###herren.de
- DNS ASK de####.3dstyle.in.ua
- DNS ASK ef#####tanesi.com.tr
- DNS ASK zo###oncept.org
- DNS ASK mj##tos.de
- DNS ASK wi#####najayaabadi.com
- DNS ASK em###sworld.us
- DNS ASK ri###lstone.kz
- DNS ASK td#.in.ua
- DNS ASK ex###tiza.info
- DNS ASK ma##inki.eu
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
