Техническая информация
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- %WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\fox.exe
- %TEMP%\_ir_sf_temp_0\kube.enc
- %TEMP%\_ir_sf_temp_0\Tlow.enc
- %TEMP%\windows.exe
- %TEMP%\kube.exe
- %TEMP%\CodecFixDivx.exe
- %TEMP%\_ir_sf_temp_0\fox.enc
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\_ir_sf_temp_0\lua5.1.dll
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\_ir_sf_temp_0\CUE.enc
- %TEMP%\_ir_sf_temp_0\IRIMG2.JPG
- %TEMP%\_ir_sf_temp_0\IRIMG1.JPG
Удаляет следующие файлы:
- %TEMP%\_ir_sf_temp_0\irsetup.dat
Сетевая активность:
Подключается к:
- 'lo###ube.biz':80
TCP:
Запросы HTTP GET:
- http://lo###ube.biz/find/462fb3b2ea06010a0bd65d69227b520a/result-364219417.dl?so#########################
UDP:
- DNS ASK lo###ube.biz
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'Loading file'
- ClassName: '' WindowName: 'Preparing setup...'
- ClassName: '' WindowName: 'CodecFixDivx'
Создает и запускает на исполнение:
- '%TEMP%\windows.exe'
- '%TEMP%\kube.exe'
- '%TEMP%\CodecFixDivx.exe'
- '%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:1790722 "__IRAFN:<Полный путь к файлу>" "__IRCT:0" "__IRTSS:0" "__IRSID:S-1-5-21-2052111302-484763869-725345543-1003"
- '%TEMP%\fox.exe'
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\vbc.exe'
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\InstallUtil.exe' /logtoconsole=false /logfile= /u "%TEMP%\CodecFixDivx.exe"
