Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'eType' = '<Полный путь к файлу>'
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES5.tmp" "%TEMP%\CSC4.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\naimrejf.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8.tmp" "%TEMP%\CSC7.tmp"
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\4xrhhdku.cmdline"
- '%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' -nohome
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\q12q1t5g.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\CSC1.tmp"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmp6.tmp
- %TEMP%\4xrhhdku.dll
- %TEMP%\tmp3.tmp
- %TEMP%\CSC4.tmp
- %TEMP%\RES5.tmp
- %APPDATA%\eType\egasu.xml
- %TEMP%\CSC7.tmp
- %TEMP%\RES8.tmp
- %TEMP%\naimrejf.out
- %TEMP%\naimrejf.0.cs
- %TEMP%\naimrejf.cmdline
- %APPDATA%\eType\esnecil.xml
- %TEMP%\q12q1t5g.cmdline
- %TEMP%\q12q1t5g.out
- %TEMP%\q12q1t5g.0.cs
- %APPDATA%\eType\<Имя файла>.exe.log
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\welcome[1].php
- %TEMP%\CSC1.tmp
- %TEMP%\4xrhhdku.cmdline
- %TEMP%\4xrhhdku.out
- %TEMP%\4xrhhdku.0.cs
- %TEMP%\RES2.tmp
- %TEMP%\q12q1t5g.dll
Удаляет следующие файлы:
- %TEMP%\4xrhhdku.dll
- %TEMP%\CSC4.tmp
- %TEMP%\RES5.tmp
- %TEMP%\4xrhhdku.cmdline
- %TEMP%\4xrhhdku.0.cs
- %TEMP%\4xrhhdku.out
- %TEMP%\q12q1t5g.dll
- %TEMP%\CSC1.tmp
- %TEMP%\RES2.tmp
- <SYSTEM32>\d3d9caps.dat
- %TEMP%\q12q1t5g.out
- %TEMP%\q12q1t5g.0.cs
- %TEMP%\q12q1t5g.cmdline
Подменяет следующие файлы:
- <SYSTEM32>\d3d9caps.dat
Сетевая активность:
Подключается к:
- 'wp#d':80
- 's3.###zonaws.com':80
- 'localhost':1036
- 'et##e.com':80
TCP:
Запросы HTTP GET:
- http://s3.###zonaws.com/etype/download/update.xml
- http://et##e.com/api/do_count.php?id#############################################################################################################################################################...
- http://do####ad.etype.com/update.xml via et##e.com
- http://et##e.com/welcome.php?uu####################################
- http://11#.#11.111.2/wpad.dat via wp#d
UDP:
- DNS ASK do####ad.etype.com
- DNS ASK s3.###zonaws.com
- DNS ASK et##e.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
