Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command] '' = '"<LS_APPDATA>\pvp.exe" -a "%PROGRAM_FILES%\Internet Explorer\iexplore.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '2976905424' = '<LS_APPDATA>\pvp.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '<SYSTEM32>\ctfmon.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- <LS_APPDATA>\pvp.exe -gav <Полный путь к вирусу>
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
- opera.exe
- iexplore.exe
- firefox.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\0r083dk643bx172u6tnoc3b6nbugk612hj52li
- %HOMEPATH%\Templates\0r083dk643bx172u6tnoc3b6nbugk612hj52li
- %ALLUSERSPROFILE%\Application Data\0r083dk643bx172u6tnoc3b6nbugk612hj52li
- <LS_APPDATA>\pvp.exe
- <LS_APPDATA>\0r083dk643bx172u6tnoc3b6nbugk612hj52li
Самоудаляется.
Сетевая активность:
Подключается к:
- 'la###ezafeq.com':80
- 'mo####zyrosive.com':80
- 'ne###unetet.com':80
- 'ku####dolujyno.com':80
- 'vy####jamobu.com':80
- 'wi####vorimic.com':80
- 'ca####gurewipu.com':80
- 'di###asyl.com':80
- 'lu###iduw.com':80
- 'ke####cacylofi.com':80
- 'vi###epidy.com':80
- 'gu###ebus.com':80
- 'de####kyqepe.com':80
- 'ba###abiduj.com':80
- 'ca####qakaha.com':80
- 'ho###ameg.com':80
- 'mo####bomisa.com':80
- 'vy####vucywoti.com':80
- 'po###ahid.com':80
- 'gi###yjedud.com':80
- 'ji####cilelum.com':80
- 'da###usak.com':80
- 've####neloqyta.com':80
- 'fu###yryti.com':80
- 'la####wexedemu.com':80
- 'je####pyqohy.com':80
- 'to###exyli.com':80
- 'bu###ebalu.com':80
- 'xi###imir.com':80
- 'li####sumaca.com':80
UDP:
- DNS ASK la###ezafeq.com
- DNS ASK mo####zyrosive.com
- DNS ASK ne###unetet.com
- DNS ASK ku####dolujyno.com
- DNS ASK vy####jamobu.com
- DNS ASK wi####vorimic.com
- DNS ASK ca####gurewipu.com
- DNS ASK di###asyl.com
- DNS ASK lu###iduw.com
- DNS ASK ke####cacylofi.com
- DNS ASK vi###epidy.com
- DNS ASK gu###ebus.com
- DNS ASK de####kyqepe.com
- DNS ASK ba###abiduj.com
- DNS ASK ca####qakaha.com
- DNS ASK ho###ameg.com
- DNS ASK mo####bomisa.com
- DNS ASK vy####vucywoti.com
- DNS ASK po###ahid.com
- DNS ASK gi###yjedud.com
- DNS ASK ji####cilelum.com
- DNS ASK da###usak.com
- DNS ASK ve####neloqyta.com
- DNS ASK fu###yryti.com
- DNS ASK la####wexedemu.com
- DNS ASK je####pyqohy.com
- DNS ASK to###exyli.com
- DNS ASK bu###ebalu.com
- DNS ASK xi###imir.com
- DNS ASK li####sumaca.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'msascui_class' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
