Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\chrome.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Cab3.tmp
- %TEMP%\Cab5.tmp
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\fille_crypt[1].exe
- %TEMP%\Cab1.tmp
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %ProgramFiles%\Explor\Explor\sess.js
Удаляет следующие файлы:
- %TEMP%\Cab3.tmp
- %TEMP%\Cab5.tmp
- %TEMP%\Cab1.tmp
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
Сетевая активность:
Подключается к:
- 'localhost':1042
- 'ad###update.gdn':80
- 'download.windowsupdate.com':80
- 'wp#d':80
- 'cr#.##modoca.com':80
TCP:
Запросы HTTP GET:
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab via download.windowsupdate.com
- http://cr#.##modoca.com/COMODORSACodeSigningCA.crt
- http://ad###update.gdn/fille_crypt.exe
- http://11#.#11.111.1/wpad.dat via wp#d
- http://cr#.##modoca.com/COMODORSAAddTrustCA.crt
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt via download.windowsupdate.com
UDP:
- DNS ASK www.download.windowsupdate.com
- DNS ASK ad###update.gdn
- DNS ASK wp#d
- DNS ASK cr#.##modoca.com
Другое:
Создает и запускает на исполнение:
- '%HOMEPATH%\Start Menu\Programs\Startup\chrome.exe'
- '<SYSTEM32>\wscript.exe' "%ProgramFiles%\Explor\Explor\sess.js"
