Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Java' = ''
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\Microsoft\DTlite.exe
- %APPDATA%\Microsoft\DivX.exe
- %APPDATA%\Microsoft\jusched.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\div1.tmp\div4.tmp
- %APPDATA%\Microsoft\Res2.dat
- %APPDATA%\Microsoft\Windows.dat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\DivXSetupRes_dpi96[1].dll
- %TEMP%\div1.tmp\div3.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\manifest[1].cab
- %APPDATA%\Microsoft\Default.dat
- %APPDATA%\Microsoft\waiter.dat
- %APPDATA%\Microsoft\snd.dat
- %APPDATA%\Microsoft\System.dat
- %APPDATA%\Microsoft\DirectX.dat
- %APPDATA%\Microsoft\etc.dat
- %APPDATA%\Microsoft\Setup.dat
- %APPDATA%\Microsoft\DivX.exe
- %TEMP%\aut2.tmp
- %APPDATA%\Microsoft\DTlite.exe
- %APPDATA%\Microsoft\jusched.exe
- %APPDATA%\Microsoft\update.exe
- %APPDATA%\Microsoft\localstore.rdf
- %APPDATA%\Mozilla\Firefox\Profiles\localstore.rdf
- %APPDATA%\Microsoft\chipset.dat
- %TEMP%\iwdqkkj
- %ALLUSERSPROFILE%\Application Data\DivX\Setup\DivXSetup.log
- %APPDATA%\Microsoft\connectf1_.dat
Удаляет следующие файлы:
- %TEMP%\iwdqkkj
- %TEMP%\aut2.tmp
Сетевая активность:
Подключается к:
- 'di##.divx.com':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- di##.divx.com/divx/setup/manifest.cab
- di##.divx.com/divx/setup/DivXSetupRes_dpi96.dll
UDP:
- DNS ASK www.ya##o.com
- DNS ASK di##.divx.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
