Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\domklav.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '%TEMP%\domklav.exe'
- '<SYSTEM32>\cmd.exe' /c copy /b "%TEMP%\\tmp.odg"+"%TEMP%\\newalamandi.odg" "%TEMP%\\alamandi.exe"
- '<SYSTEM32>\cmd.exe' /c <nul set /p strTemp=MZ>"%TEMP%\\tmp.odg"
- '<SYSTEM32>\cmd.exe' /c copy /b "%TEMP%\\tmp.odg"+"%TEMP%\\newdomklav.odg" "%TEMP%\\domklav.exe"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\newalamandi.odg
- %TEMP%\alamandi.exe
- %TEMP%\domklav.exe
- %TEMP%\newdomklav.odg
- %TEMP%\tmp.odg
Сетевая активность:
Подключается к:
- 'fo####.real-mies.ru':80
- 'ga###onvert.net':80
- 'co####r.24log.ru':80
TCP:
Запросы HTTP GET:
- http://fo####.real-mies.ru/ODQzNjtodHRwJTNBJTJGJTJGd3d3LmFsYXdhci5ydSUyRnBjJTJGZG93bmxvYWQlMkZhbGFtYW5kaSUyRjtuYW1lPWFsYW1hbmRpO3NpemU9MTA0ODU3Njt0eXBlPXNldHVw
- http://ga###onvert.net/install.php?ri########################################################################################################
- http://co####r.24log.ru/counter?id#################################################
UDP:
- DNS ASK fo####.real-mies.ru
- DNS ASK ga###onvert.net
- DNS ASK co####r.24log.ru
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
