Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\jre_packed.exe' %PROGRAM_FILES%\Zona
- '%TEMP%\javaSetup.exe' /s REBOOT=Suppress JAVAUPDATE=0 WEBSTARTICON=0
- '%TEMP%\jre_packed.exe' (загружен из сети Интернет)
- '%TEMP%\javaSetup.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cscript.exe' //NoLogo %TEMP%\hd.vbs
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Zona\License_uk.rtf
- %PROGRAM_FILES%\Zona\License_ru.rtf
- %PROGRAM_FILES%\Zona\License_en.rtf
- %APPDATA%\Zona\tmp\appdata.7z
- %APPDATA%\Zona\tmp\Zona.7z
- %PROGRAM_FILES%\Zona\utils.jar
- %APPDATA%\Zona\init.xml
- %TEMP%\ZonaInstall.log
- %TEMP%\hd.vbs
- %TEMP%\jre_packed.exe
- %TEMP%\javaSetup.exe
Удаляет следующие файлы:
- %APPDATA%\Zona\tmp\Zona.7z
- %APPDATA%\Zona\tmp\appdata.7z
Сетевая активность:
Подключается к:
- 'dl.#ona.ru':80
- 'st##.#iniload.org':80
TCP:
Запросы HTTP GET:
- dl.#ona.ru/Zona.7z
- dl.#ona.ru/appdata.7z
- dl.#ona.ru/jre_latest.exe
- dl.#ona.ru/jre_packed.exe
UDP:
- DNS ASK dl.#ona.ru
- DNS ASK st##.#iniload.org
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
