Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\Server.ExE' (загружен из сети Интернет)
Запускает на исполнение:
- '%TEMP%\Server.ExE'
- '%APPDATA%\server1 - Copy (3).exe'
- '%APPDATA%\WinRAR.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsn4.tmp\nsDialogs.dll
- %TEMP%\nsn4.tmp\modern-wizard.bmp
- %TEMP%\Server.ExE
- %TEMP%\nsn4.tmp\System.dll
- %APPDATA%\server1 - Copy (3).exe
- %APPDATA%\WinRAR.exe
- %TEMP%\nsn4.tmp\modern-header.bmp
- %TEMP%\nss3.tmp
Сетевая активность:
Подключается к:
- 'df##es.eu':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- http://df##es.eu/files/yakg3loe0
- http://11#.#11.111.1/wpad.dat via wp#d
UDP:
- DNS ASK df##es.eu
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
