Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\temp.exe
Запускает на исполнение:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe /noconfig @"%TEMP%\zpotglin.cmdline"
Завершает или пытается завершить
следующие пользовательские процессы:
- magent.exe
- ICQ.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKLM>\SOFTWARE\FlashFXP]
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKCU>\Software\Ghisler\Total Commander]
- [<HKLM>\Software\Ghisler\Total Commander]
- [<HKCU>\Software\FTPWare\CoreFTP\Sites]
- [<HKCU>\Software\Martin Prikryl\WinSCP 2\Sessions]
- [<HKCU>\Software\Far2\Plugins\FTP\Hosts]
- [<HKCU>\Software\Far\Plugins\FTP\Hosts]
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\zpotglin.out
- %TEMP%\report_11-10-2012_23-02-49-F4D651E80A6E4747C8F28A7D8647D810-DKFL.bin
- %TEMP%\NO_PWDS_report_11-10-2012_23-02-49-F4D651E80A6E4747C8F28A7D8647D810-DKFL.bin
- %APPDATA%\temp.exe
- %TEMP%\zpotglin.0.vb
- %TEMP%\zpotglin.cmdline
Удаляет следующие файлы:
- %TEMP%\zpotglin.out
- %TEMP%\NO_PWDS_report_11-10-2012_23-02-49-F4D651E80A6E4747C8F28A7D8647D810-DKFL.bin
- %TEMP%\zpotglin.cmdline
- %TEMP%\zpotglin.0.vb
Перемещает следующие файлы:
- %TEMP%\report_11-10-2012_23-02-49-F4D651E80A6E4747C8F28A7D8647D810-DKFL.bin в %TEMP%\NO_PWDS_report_11-10-2012_23-02-49-F4D651E80A6E4747C8F28A7D8647D810-DKFL.bin
Сетевая активность:
Подключается к:
- '94.##0.191.201':2525
UDP:
- DNS ASK sm##.mail.ru
