Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command] '' = '"<LS_APPDATA>\pee.exe" -a "%ProgramFiles%\Internet Explorer\iexplore.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '<SYSTEM32>\ctfmon.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DisableNotifications' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
блокирует:
- Центр обеспечения безопасности (Security Center)
Завершает или пытается завершить
следующие пользовательские процессы:
- safari.exe
- opera.exe
- chrome.exe
- iexplore.exe
- firefox.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\erv3315i70lfs1xrkb44nvkd
- %HOMEPATH%\Templates\erv3315i70lfs1xrkb44nvkd
- %ALLUSERSPROFILE%\Application Data\erv3315i70lfs1xrkb44nvkd
- <LS_APPDATA>\pee.exe
- <LS_APPDATA>\erv3315i70lfs1xrkb44nvkd
Удаляет следующие файлы:
- <Полный путь к файлу>
Сетевая активность:
Подключается к:
- 'cu###araso.com':80
- 'ze####tamado.com':80
- 'go####zavyxiro.com':80
- 'xy###itacif.com':80
- 'di###ehypuq.com':80
- 'sa####duzipame.com':80
- 'lu###ymela.com':80
- 'ci###atywo.com':80
- 'we###yger.com':80
- 'be####wedowigo.com':80
- 'ro###arof.com':80
- 'ce###esuho.com':80
- 'gi###epomer.com':80
- 'je####dukojoz.com':80
- 'wa####fadezy.com':80
UDP:
- DNS ASK je###onip.com
- DNS ASK cy####dugudi.com
- DNS ASK va###itefo.com
- DNS ASK ky####penihyf.com
- DNS ASK te###yjaj.com
- DNS ASK go###ajylot.com
- DNS ASK la####hisegu.com
- DNS ASK ni####tahinery.com
- DNS ASK da###esomyz.com
- DNS ASK je####jurejel.com
- DNS ASK ry###odok.com
- DNS ASK qu###ajojuh.com
- DNS ASK hu###oluxa.com
- DNS ASK microsoft.com
- DNS ASK fe####nybyvu.com
- DNS ASK qu###asuced.com
- DNS ASK sy####hevabu.com
- DNS ASK zu###ahule.com
- DNS ASK gi###epomer.com
- DNS ASK je####dukojoz.com
- DNS ASK go####zavyxiro.com
- DNS ASK ci###atywo.com
- DNS ASK wa####fadezy.com
- DNS ASK be####wedowigo.com
- DNS ASK ro###arof.com
- DNS ASK ce###esuho.com
- DNS ASK we###yger.com
- DNS ASK ju####vetode.com
- DNS ASK di###ehypuq.com
- DNS ASK ja###obik.com
- DNS ASK ky####viqopoci.com
- DNS ASK sa####duzipame.com
- DNS ASK cu###araso.com
- DNS ASK ze####tamado.com
- DNS ASK lu###ymela.com
- DNS ASK xy###itacif.com
Другое:
Ищет следующие окна:
- ClassName: 'msascui_class' WindowName: ''
Создает и запускает на исполнение:
- '<LS_APPDATA>\pee.exe' -gav <Полный путь к файлу>
