Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MD IE Plugin' = '%PROGRAM_FILES%\MD\md'
Вредоносные функции:
Создает и запускает на исполнение:
- %PROGRAM_FILES%\MD\md.exe "%PROGRAM_FILES%\MD\md.exe"
- %PROGRAM_FILES%\MD\md.exe /REGSERVER
- %TEMP%\N3a02872\in9035.exe %TEMP%\N3a02872\_ad9045.rtp %TEMP%\N3a02872\set9031.TMP
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\md[1].txt
- %PROGRAM_FILES%\MD\md.exe
- <SYSTEM32>\tgsrch.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\srch_md[1].txt
- <SYSTEM32>\tgfile.txt
- %TEMP%\N3a02872\~ic30\md.exe
- %TEMP%\N3a02872\in9035.exe
- %TEMP%\N3a02872\_ad9045.adx
- %TEMP%\_ad9045.dll
- %TEMP%\N3a02872\_ad9045.rtp
- %TEMP%\N3a02872\ic9023.cab
- %TEMP%\N3a02872\set9031.TMP
Удаляет следующие файлы:
- %TEMP%\N3a02872\_ad9045.rtp
- %TEMP%\N3a02872\~ic30\md.exe
- %TEMP%\_ad9045.dll
- %TEMP%\N3a02872\_ad9045.adx
- %TEMP%\N3a02872\ic9023.cab
- %TEMP%\N3a02872\in9035.exe
- %TEMP%\N3a02872\set9031.TMP
Сетевая активность:
Подключается к:
- 'www.ma###tdart.com':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- www.ma###tdart.com/files/srch_md.txt
- www.ma###tdart.com/files/md.txt
UDP:
- DNS ASK www.ma###tdart.com
