Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\{18E43AAA-161C-4F70-6E66-B716842BD42B}.job
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Identities\{5518F2FB-DB74-45A3-BEC1-4575D8D9DC84}\sucosun.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\messengerservice]
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\reporta[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\reporta[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\reporta[1].htm
- %APPDATA%\Identities\{5518F2FB-DB74-45A3-BEC1-4575D8D9DC84}\sucosun.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\reporta[1].htm
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Tasks\{18E43AAA-161C-4F70-6E66-B716842BD42B}.job
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\reporta[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\reporta[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\reporta[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\reporta[1].htm
Сетевая активность:
Подключается к:
- 'ro##.#rkadasci.com':80
- 'ro###.arqadas.net':80
- 'ro##.#rqadas.info':80
TCP:
Запросы HTTP POST:
- ro##.#rkadasci.com/reporta.php
- ro###.arqadas.net/reporta.php
- ro##.#rqadas.info/reporta.php
UDP:
- DNS ASK ro##.#rkadasci.com
- DNS ASK ro###.arqadas.net
- DNS ASK ro##.#rqadas.info
