Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Windows Update.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\cleardllv1.exe' %ALLUSERSPROFILE%\Menu Iniciar\Programas\Inicializar\Windows Update.exe
- '<SYSTEM32>\cleardllv1.exe' <SYSTEM32>\wuaucltr.exe
- '<SYSTEM32>\cleardllv1.exe' <SYSTEM32>\dllhostsrv.exe
- '<SYSTEM32>\Windows Update.exe'
- '<SYSTEM32>\cleardllv1.exe' C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Windows Update.exe
- '<SYSTEM32>\cleardllv1.exe' %ALLUSERSPROFILE%\start menu\programs\startup\Windows Update.exe
- '<SYSTEM32>\cleardllv1.exe' <SYSTEM32>\dllhostup.exe
- '<SYSTEM32>\cleardllv1.exe' %WINDIR%\WINSTART.CMD
- '<SYSTEM32>\cleardllv1.exe' <SYSTEM32>\clean.exe
- '<SYSTEM32>\cleardllv1.exe' %WINDIR%\SCANREG01.REG
- '<SYSTEM32>\cleardllv1.exe' <SYSTEM32>\hosts
- '<SYSTEM32>\cleardllv1.exe' <DRIVERS>\etc\hosts
- '<SYSTEM32>\Windows Update.exe' (загружен из сети Интернет)
- '<SYSTEM32>\cleardllv1.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://www.am######unk-oberschwaben.de/images/.../contador6.html
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
следующие пользовательские процессы:
- AVPM.EXE
- AVPCC.EXE
- mpftray.exe
- ZONEALARM.EXE
- outpost.exe
- NAVAPW32.EXE
- avgcc.exe
- AVGCTRL.EXE
- AVP32.EXE
- AVP.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\contador6[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\05r[1].rm
- <SYSTEM32>\Windows Update.exe
- <SYSTEM32>\cleardllv1.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\D00[1].pdf
- <SYSTEM32>\hosts
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\C01[1].pdf
Присваивает атрибут 'скрытый' для следующих файлов:
- <Полный путь к вирусу>
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'www.am######unk-oberschwaben.de':80
- '19#.#73.69.77':80
- 'localhost':1038
- 'localhost':1035
- 'ki#####nconnection.com':80
TCP:
Запросы HTTP GET:
- www.am######unk-oberschwaben.de/images/.../contador6.html
- 19#.#73.69.77/videos/05r.rm
- ki#####nconnection.com/modules/coppermine/albums/userpics/.../clean/D00.pdf
- ki#####nconnection.com/modules/coppermine/albums/userpics/.../clean/C01.pdf
UDP:
- DNS ASK www.am######unk-oberschwaben.de
- DNS ASK ki#####nconnection.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'uhum'
