Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Flash Runtime' = '%WINDIR%\flashx.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\livc.exe'
- '%WINDIR%\reac.exe'
- '%TEMP%\Ins2.tmp.exe'
- '%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:1742194 "__IRAFN:<Полный путь к вирусу>" "__IRCT:0" "__IRTSS:0" "__IRSID:S-1-5-21-2052111302-484763869-725345543-1003"
- '%WINDIR%\bsc.exe'
- '%WINDIR%\flashx.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\livc.exe
- %WINDIR%\reac.exe
- %PROGRAM_FILES%\FlashPlayer11.02\Uninstall\uninstall.xml
- %WINDIR%\flashx.exe
- %WINDIR%\bsc.exe
- %TEMP%\Ins2.tmp.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\click[1].track
- %PROGRAM_FILES%\FlashPlayer11.02\Uninstall\IRIMG1.JPG
- %PROGRAM_FILES%\FlashPlayer11.02\Uninstall\IRIMG2.JPG
- %PROGRAM_FILES%\FlashPlayer11.02\lua5.1.dll
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\_ir_sf_temp_0\IRIMG1.JPG
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\_ir_sf_temp_0\lua5.1.dll
- %TEMP%\_ir_sf_temp_0\IRIMG2.JPG
- %PROGRAM_FILES%\FlashPlayer11.02\Uninstall\uninstall.dat
- %PROGRAM_FILES%\FlashPlayer11.02\uninstall.exe
- %TEMP%\FlashPlayer11.02 Setup Log.txt
- %PROGRAM_FILES%\FlashPlayer11.02\Uninstall\uni1.tmp
Удаляет следующие файлы:
- %TEMP%\_ir_sf_temp_0\IRIMG2.JPG
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\_ir_sf_temp_0\lua5.1.dll
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %PROGRAM_FILES%\FlashPlayer11.02\Uninstall\uni1.tmp
- %TEMP%\_ir_sf_temp_0\IRIMG1.JPG
Сетевая активность:
Подключается к:
- '19#.#62.103.36':8886
- 'www.tr###amps.com':80
- 'so####ssecrets.com':80
- 'localhost':1040
TCP:
Запросы HTTP GET:
- www.tr###amps.com/click.track?CI#####################################
- so####ssecrets.com/logs/bs.php?me#################################################
- so####ssecrets.com/logs/bs.php?me###################################################
UDP:
- DNS ASK www.tr###amps.com
- DNS ASK so####ssecrets.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'MS_WINHELP' WindowName: '(null)'
