Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'paulson' = '"%ProgramFiles%\Vitra\bible.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'laugher' = '"%ProgramFiles%\eyre\laugher.exe"'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\common.lnk
Вредоносные функции:
Запускает на исполнение:
- '%ProgramFiles%\eyre\laugher.exe'
- '%TEMP%\nsf2.tmp\118069.exe'
- '%TEMP%\nsf2.tmp\NMdawne.exe' "%ProgramFiles%\venter\venter.exe" "k15545842"
- '%TEMP%\nsf2.tmp\57301.exe'
- '<SYSTEM32>\taskkill.exe' /im chrome.exe
- '%TEMP%\nsnB.tmp\nsC.tmp' taskkill /im chrome.exe
- '%TEMP%\nsf2.tmp\96619.exe'
- '%TEMP%\nsf2.tmp\137348.exe'
- '%TEMP%\nsf2.tmp\NMdawne.exe' "%ProgramFiles%\Vitra\bible.exe" "64149806"
- '%TEMP%\nsf2.tmp\88854.exe'
- '%TEMP%\nsf2.tmp\39429.exe'
- '%TEMP%\nsf2.tmp\NMdawne.exe' "%ProgramFiles%\Snagging\bible.exe" "15545842"
- '%ProgramFiles%\Snagging\bible.exe'
- '%TEMP%\nsf2.tmp\NMdawne.exe' "<LS_APPDATA>\bible.exe" "51097064"
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[13].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[12].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[11].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[14].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[17].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[16].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[15].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[6].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[5].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[4].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[7].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[10].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[9].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[8].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[8].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[7].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[6].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[9].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[12].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[11].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[10].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[2].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[19].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[18].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[2].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[5].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[4].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[3].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[3].html
- %ProgramFiles%\Vitra\bible.exe
- %TEMP%\nsf2.tmp\118069.exe
- %TEMP%\nsf2.tmp\Microsoft.Win32.TaskScheduler.dll
- <LS_APPDATA>\bible.exe
- %ProgramFiles%\Snagging\bible.exe
- %TEMP%\nsc4.tmp\AccessControl.dll
- %TEMP%\nsf2.tmp\AccessControl.dll
- %TEMP%\nsf2.tmp\57301.exe
- %TEMP%\nsf2.tmp\39429.exe
- %TEMP%\nsf2.tmp\29072.exe
- %TEMP%\nsf2.tmp\88854.exe
- %TEMP%\nsf2.tmp\NMdawne.exe
- %TEMP%\nsf2.tmp\137348.exe
- %TEMP%\nsf2.tmp\96619.exe
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[1].html
- %TEMP%\nsoF.tmp\ShellLink.dll
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[1].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[1].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[2].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\YPORKZYZ\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[1].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb[2].html
- %ProgramFiles%\eyre\laugher.exe
- %ProgramFiles%\venter\venter.exe
- %TEMP%\nsf7.tmp\SimpleFC.dll
- %TEMP%\nsr9.tmp\AccessControl.dll
- %TEMP%\nsnB.tmp\nsC.tmp
- %TEMP%\nsnB.tmp\nsExec.dll
- %WINDIR%\bible.exe
Удаляет следующие файлы:
- %TEMP%\nsoF.tmp\ShellLink.dll
- %TEMP%\nsr9.tmp\AccessControl.dll
- %TEMP%\nsc4.tmp\AccessControl.dll
- %TEMP%\nsf7.tmp\SimpleFC.dll
Перемещает следующие файлы:
- %WINDIR%\bible.exe в %WINDIR%\vogt.exe
- %ProgramFiles%\Vitra\bible.exe в %ProgramFiles%\Vitra\bible.dll
- %ProgramFiles%\Vitra\bible.exe в %ProgramFiles%\Vitra\Vitra.exe
Подменяет следующие файлы:
- %ProgramFiles%\Vitra\bible.exe
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'ww##.##governaunts.pw':80
- 'localhost':1045
- 'localhost':1040
- 'localhost':1037
- 'www.mc####rnaunts.pw':80
TCP:
Запросы HTTP GET:
- http://ww##.##governaunts.pw/xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb.html?li#####################################################
- http://www.mc####rnaunts.pw/xDRNR2Lrb0Lrb1Lrb70mQNr73xDRNR1Lrb.html?li#####################################################
UDP:
- DNS ASK ww##.##governaunts.pw
- DNS ASK www.mc####rnaunts.pw
Другое:
Ищет следующие окна:
- ClassName: 'Chrome_WidgetWin_0' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
