Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'cmd' = '<Полный путь к вирусу>'
Вредоносные функции:
Создает и запускает на исполнение:
- '%HOMEPATH%\My Documents\Windows\cmd.exe' -t 1 -o http://ki##########23@pool.bitclockers.com:8332
- '%HOMEPATH%\My Documents\Windows\cmd.exe' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\phatk[1].txt
- %HOMEPATH%\My Documents\Windows\usft_ext.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\usft_ext[1].txt
- %HOMEPATH%\My Documents\Windows\phatk.cl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\phatk[1].cl
- %HOMEPATH%\My Documents\Windows\phatk.ptx
- %HOMEPATH%\My Documents\Windows\cmd.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\main[1].txt
- %TEMP%\881274\svhost.exe
- %HOMEPATH%\My Documents\Windows\miner.dll
- %HOMEPATH%\My Documents\Windows\tmp.txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\m[1].txt
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\881274\svhost.exe
Сетевая активность:
Подключается к:
- '14#.0.36.38':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- 14#.0.36.38/u/phatk.txt
- 14#.0.36.38/u/phatk.cl
- 14#.0.36.38/u/usft_ext.txt
- 14#.0.36.38/u/main.txt
- 14#.0.36.38/u/m.txt
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
