Техническая информация
Вредоносные функции:
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = '127.0.0.1:9666'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = 'local'
- [<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1C00' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'CurrentLevel' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\~vxcuxvo
- %TEMP%\Narqzcap
Сетевая активность:
Подключается к:
- 'www.on#######ms.edgarfiling.sec.gov':443
- 'op#####.dev.java.net':443
- 'ib###.#arclays.co.uk':443
- 'www.ip##ges.com':443
- 'ca##.usbank.com':443
- 'www.ba####america.com':443
- 'ap#####tionmanager.org':443
- 'im####.jostens.com':443
- 'www.co##ant.com':443
- '74.##5.232.51':443
- 'te#####me.amazon.com':443
- 'sc#######file.teachernet.gov.uk':443
UDP:
- DNS ASK www.on#######ms.edgarfiling.sec.gov
- DNS ASK ib###.#arclays.co.uk
- DNS ASK op#####.dev.java.net
- DNS ASK www.ip##ges.com
- DNS ASK ca##.usbank.com
- DNS ASK www.ba####america.com
- DNS ASK ap#####tionmanager.org
- DNS ASK im####.jostens.com
- DNS ASK www.co##ant.com
- DNS ASK up####.video.google.com
- DNS ASK te#####me.amazon.com
- DNS ASK sc#######file.teachernet.gov.uk
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
