Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ModemDriver' = '%APPDATA%\AudioMonitor\amd.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=2820
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3972
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3492
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4344
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4936
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5376
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5436
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=6036
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5476
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4556
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5488
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5896
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4576
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5868
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5748
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=2148
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5388
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5668
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=2452
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=2848
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4988
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4928
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4836
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5788
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5316
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4528
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4456
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5348
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5568
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4656
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5848
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4648
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3452
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5576
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3792
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3352
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5256
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3360
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3072
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3772
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3572
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5916
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5208
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4756
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4628
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4072
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4676
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4112
- '%APPDATA%\AudioMonitor\audiodrivers.exe' -o http://yp###.net:8080 -u craazzzzzy.666 -p 777 -m256
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4888
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4668
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5076
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3680
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=2908
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5088
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4736
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3740
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5236
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=1852
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5456
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5536
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5936
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5836
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4776
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=760
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4132
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5996
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=6116
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3100
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=3992
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=4212
- '%APPDATA%\AudioMonitor\audiodrivers.exe' /pid=5768
- '%APPDATA%\AudioMonitor\audiodrivers.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' /pid=988
- '<SYSTEM32>\attrib.exe' -s -h %APPDATA%\AudioMonitor
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\AudioMonitor\audiodrivers.exe
Самоперемещается:
- из <Полный путь к вирусу> в %APPDATA%\AudioMonitor\amd.exe
Сетевая активность:
Подключается к:
- '19#.#0.57.179':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- 19#.#0.57.179/protosharesov/protomine32.exe
- wp#d/wpad.dat
UDP:
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
