Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\C+WClient.exe' (загружен из сети Интернет)
- '%TEMP%\WriteMbox.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '%TEMP%\WriteMbox.exe'
- '%TEMP%\C+WClient.exe'
- '%ProgramFiles%\Windows NT\Accessories\wordpad.exe' "%TEMP%\<Имя файла>.doc"
- '%TEMP%\q_1.tmp'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\C+WClient.exe
- %TEMP%\WriteMbox.exe
- %TEMP%\<Имя файла>.doc
- %TEMP%\q_1.tmp
Самоперемещается:
- из <Полный путь к файлу> в <Текущая директория>\<Имя файла>.doc
Сетевая активность:
Подключается к:
- '11#.#8.15.64':80
- '11#.#8.32.12':80
TCP:
Запросы HTTP GET:
- http://11#.#8.32.12/?id################################# via 11#.#8.15.64
- http://11#.#8.32.12/?id#################################
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'WordPadClass' WindowName: ''
