Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ChromeUpdate' = '%APPDATA%\FrameworkUpdate7\ChromeUpdate.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'e041993' = '%APPDATA%\e041993.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'e04199' = 'C:\e041993\e041993.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\e041993.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\e041993.exe
- %APPDATA%\麽鎒駓覜
- %APPDATA%\FrameworkUpdate7\ChromeUpdate.exe
- %TEMP%\2.tmp
- %TEMP%\3.tmp
- C:\e041993\e041993.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\麽鎒駓覜
Сетевая активность:
Подключается к:
- 'www.mc###nguild.com':80
- 'www.fe###woman.com':80
- 'ep#####lio.ccpullman.ca':80
- 'www.ho#####fesupport.com':80
- 'www.sp####ntiques.co.uk':80
- 'www.ye###yapmak.com':80
- 'www.pr#####rideal.com.br':80
- 'www.fo######sphotography.co.uk':80
- 'www.gr#####aforeningen.com':80
- 'www.fd######schwarzenberg.de':80
- 'www.mg###terburg.ch':80
- 'www.ro###times.com':80
- 'www.je#.or.at':80
- 'ar###rtner.cz':80
- 'www.te##ze.com':80
- 'www.cu###eumann.de':80
- 'www.ch#####gcruising.co.uk':80
- 'www.ar###erda.com':80
- 'www.ji##ole.be':80
- 'www.dr####ttringen.de':80
- 'www.me###ainfo.com':80
TCP:
Запросы HTTP GET:
- http://www.mc###nguild.com/u2m8bbkln3fqpe
- http://www.fe###woman.com/wp-content/themes/s431_Blue/bh7u09cpppg5h
- http://ep#####lio.ccpullman.ca/blog/eo7ycomyy
- http://www.ho#####fesupport.com/5gr4hl2tvv
- http://www.sp####ntiques.co.uk/blog/c8w5kp1
- http://www.ye###yapmak.com/kf4bv
- http://www.pr#####rideal.com.br/site/hr38xc4
- http://www.fo######sphotography.co.uk/blog/f040z4d5d21z5rd
- http://www.gr#####aforeningen.com/wp-content/themes/jarrah/ghd4vowtha0s.bin
- http://www.fd######schwarzenberg.de/wp-content/themes/fdp-asz/vrf8iu
- http://www.mg###terburg.ch/wordpress/f0k1ats
- http://www.ro###times.com/l449jbc0
- http://www.je#.or.at/jesneu/wp-content/themes/Girl/0l9u4lc6che
- http://ar###rtner.cz/o5l5ujx2f
- http://www.te##ze.com/geoip
- http://www.cu###eumann.de/z6lub76lz295x
- http://www.ch#####gcruising.co.uk/blog/wp-content/themes/the-beach-house/6k8elm10.bin
- http://www.ar###erda.com/blog-trabajos/n65dj17i1836
- http://www.ji##ole.be/s5eroewr
- http://www.dr####ttringen.de/wordpress/3uh2e
- http://www.me###ainfo.com/wp-content/themes/mh/3sbgwh
UDP:
- DNS ASK ep#####lio.ccpullman.ca
- DNS ASK www.mc###nguild.com
- DNS ASK www.sp####ntiques.co.uk
- DNS ASK www.mg###terburg.ch
- DNS ASK www.ho#####fesupport.com
- DNS ASK www.fe###woman.com
- DNS ASK www.ye###yapmak.com
- DNS ASK www.pr#####rideal.com.br
- DNS ASK www.fo######sphotography.co.uk
- DNS ASK www.gr#####aforeningen.com
- DNS ASK www.fd######schwarzenberg.de
- DNS ASK www.ar###erda.com
- DNS ASK ar###rtner.cz
- DNS ASK www.ro###times.com
- DNS ASK www.te##ze.com
- DNS ASK www.cu###eumann.de
- DNS ASK www.je#.or.at
- DNS ASK www.ji##ole.be
- DNS ASK www.ch#####gcruising.co.uk
- DNS ASK www.dr####ttringen.de
- DNS ASK www.me###ainfo.com
- 'any':8080
- 'any':101
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
