Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'erosatid' = '"%WINDIR%\ykipyxys.exe"'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Создает и запускает на исполнение:
- '<Полный путь к файлу>'
Запускает на исполнение:
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Internet Account Manager]
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Microsoft Outlook Internet Settings]
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\generate.toc.xml
- %APPDATA%\Majuro
- %APPDATA%\sidebar.properties.xml
- %APPDATA%\5.gif
- %APPDATA%\b_it.jpg
- %APPDATA%\argv.js
- %APPDATA%\tweakRemoveTempFiles_pt-pt.p5p
- %APPDATA%\refresh.png
- %APPDATA%\toast_critical_message.png
- %APPDATA%\Hankaku
- %APPDATA%\1.gif
- %APPDATA%\author.othername.in.middle.xml
- %APPDATA%\Practician.j
- %APPDATA%\KSC-Johab-V
- %APPDATA%\rewind_2.png
- %APPDATA%\xbLibrary.js
- %ALLUSERSPROFILE%\Application Data\upupuvimibudygax\ajewiqyj
- %APPDATA%\Services.dll
- %APPDATA%\webcam.png
- %WINDIR%\ykipyxys.exe
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\plain[1]
- %ALLUSERSPROFILE%\Application Data\upupuvimibudygax\ejewevyj
- %ALLUSERSPROFILE%\Application Data\upupuvimibudygax\enewegyj
- %APPDATA%\Bogota
- %APPDATA%\man.hyphenate.xml
- %APPDATA%\system.png
- %APPDATA%\hyph_te_IN.dic
- %APPDATA%\pcdrusb.p5m
- %APPDATA%\pcdrdvdplusrdl.p5m
- %APPDATA%\circle_orange.png
- %APPDATA%\bg_black_body.gif
- %APPDATA%\storage-category.png
- %APPDATA%\El_Salvador
- %APPDATA%\g1_960 x 640 px 144 ppi.IMZ
- %APPDATA%\glossterm.separation.xml
- %APPDATA%\Anguilla
- %APPDATA%\man.indent.blurbs.xml
- %APPDATA%\refresh_7.png
- %APPDATA%\working_8.png
- %APPDATA%\index.html
- %APPDATA%\Greegree.K
- %TEMP%\nsc2.tmp\System.dll
- %APPDATA%\transparency.svg
- %APPDATA%\El_Aaiun
- %APPDATA%\F12Tools.dll.mui
- %APPDATA%\s4.png
- %APPDATA%\rimraf.js
- %APPDATA%\processor.png
- %APPDATA%\rectangle_performance_Thumbnail.bmp
- %APPDATA%\Pago_Pago
- %APPDATA%\htmlhelp.button.home.xml
- %APPDATA%\complete_test.png
- %APPDATA%\Lord_Howe
- %APPDATA%\suppress.header.navigation.xml
- %APPDATA%\callout.graphics.path.xml
- %APPDATA%\lid_closure.png
- %APPDATA%\hyphenate.verbatim.xml
- %APPDATA%\s26.png
- %APPDATA%\Timeline.cpu.xml
- %APPDATA%\Data.mpl
- %APPDATA%\Noise Samples.grd
- %APPDATA%\Sandstone - Full Color.3PP
Сетевая активность:
Подключается к:
- 'ez###.#oystarter.biz':443
- 'vd#####r.joystarter.biz':443
- 'sb#####z.joystarter.biz':443
- '19#.#3.244.244':443
- 'oz#####.joystarter.biz':443
- 'us###.#oystarter.biz':443
- '19#.#09.206.212':443
- 'ah####.joystarter.biz':443
- 'ip##ho.net':80
TCP:
Запросы HTTP GET:
- http://ip##ho.net/plain
UDP:
- DNS ASK ez###.#oystarter.biz
- DNS ASK vd#####r.joystarter.biz
- DNS ASK er####.joystarter.biz
- DNS ASK sb#####z.joystarter.biz
- DNS ASK ip##ho.net
- DNS ASK us###.#oystarter.biz
- DNS ASK oz#####.joystarter.biz
- DNS ASK ah####.joystarter.biz
Другое:
Ищет следующие окна:
- ClassName: 'anodes' WindowName: ''
