Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'System32_expecter' = 'C:\System32\upp1.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- C:\System32\upp2.exe
- C:\System32\rundl132.exe
- %TEMP%\$AlgTemp850210$\loader.exe
- C:\System32\upp1.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\System32\upp1.exe
- C:\System32\upp1.ver
- C:\System32\upp2.ver
- %TEMP%\$AlgTemp850210$\ProgStart.name
- %TEMP%\$AlgTemp850210$\pack\upp2.exe
- %TEMP%\$AlgTemp850210$\pack\upp2.ver
- %TEMP%\$AlgTemp850210$\pack\Рисунки\Рисунок1.png
- C:\System32\engine\k.obo
- C:\System32\engine\ki.obo
- C:\System32\engine\t.obo
- C:\System32\engine\gm.obo
- C:\System32\upp2.exe
- C:\System32\rundl132.exe
- C:\System32\engine\g.obo
- %TEMP%\$AlgTemp850210$\engine\r.obo
- %TEMP%\$AlgTemp850210$\loader.exe
- %TEMP%\$AlgTemp850210$\pack\engine\g.obo
- %TEMP%\$AlgTemp850210$\engine\l.obo
- %TEMP%\$AlgTemp850210$\engine\f.obo
- %TEMP%\$AlgTemp850210$\engine\i.obo
- %TEMP%\$AlgTemp850210$\engine\k.obo
- %TEMP%\$AlgTemp850210$\pack\rundl132.exe
- %TEMP%\$AlgTemp850210$\pack\upp1.exe
- %TEMP%\$AlgTemp850210$\pack\upp1.ver
- %TEMP%\$AlgTemp850210$\pack\engine\t.obo
- %TEMP%\$AlgTemp850210$\pack\engine\gm.obo
- %TEMP%\$AlgTemp850210$\pack\engine\k.obo
- %TEMP%\$AlgTemp850210$\pack\engine\ki.obo
Удаляет следующие файлы:
- %TEMP%\$AlgTemp850210$\pack\rundl132.exe
- %TEMP%\$AlgTemp850210$\pack\upp1.exe
- %TEMP%\$AlgTemp850210$\pack\engine\ki.obo
- %TEMP%\$AlgTemp850210$\pack\engine\t.obo
- %TEMP%\$AlgTemp850210$\pack\upp1.ver
- %TEMP%\$AlgTemp850210$\pack\Рисунки\Рисунок1.png
- %TEMP%\$AlgTemp850210$\ProgStart.name
- %TEMP%\$AlgTemp850210$\pack\upp2.exe
- %TEMP%\$AlgTemp850210$\pack\upp2.ver
- %TEMP%\$AlgTemp850210$\engine\k.obo
- %TEMP%\$AlgTemp850210$\engine\l.obo
- %TEMP%\$AlgTemp850210$\engine\f.obo
- %TEMP%\$AlgTemp850210$\engine\i.obo
- %TEMP%\$AlgTemp850210$\engine\r.obo
- %TEMP%\$AlgTemp850210$\pack\engine\gm.obo
- %TEMP%\$AlgTemp850210$\pack\engine\k.obo
- %TEMP%\$AlgTemp850210$\loader.exe
- %TEMP%\$AlgTemp850210$\pack\engine\g.obo
Сетевая активность:
Подключается к:
- 'localhost':1041
- 'dl.##opbox.com':80
- 'js##fun.ru':80
TCP:
Запросы HTTP GET:
- js##fun.ru/api.php?s=############################
Запросы HTTP POST:
- dl.##opbox.com/u/27672813/oBot/up2.txt
- dl.##opbox.com/u/27672813/oBot/up1f.txt
- dl.##opbox.com/u/27672813/oBot/up1.txt
UDP:
- DNS ASK ни######locald.main
- DNS ASK dl.##opbox.com
- DNS ASK js##fun.ru
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
