Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\uTorrentService] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\uTorrentService] 'ImagePath' = '%ProgramFiles%\uTorrent\uTorent.exe'
Вредоносные функции:
Внедряет код в
следующие пользовательские процессы:
- Online TVx.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3096-4.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3096-5.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3136-6.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3136-7.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3148-8.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3240-1.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3240-2.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-3.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3240-3.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3240-5.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3276-6.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3276-7.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3292-8.manifest
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\online_help_ru[1].html
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\cupdate[1].dat
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\update[1].zip
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3096-2.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3096-3.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3096-1.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3124-12.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-11.manifest
- %ProgramFiles%\uTorrent\uTorent.exe
- %TEMP%\Online TVx.exe
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\Registry.rw.tvr.lck.CRNJEUFU.ffffffffb8c
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\Registry.rw.tvr
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\Registry.rw.tvr.transact
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\Registry.tlog.cache
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-1.manifest
- %TEMP%\esu2fd2.tmp
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3240-4.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-2.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-5.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\Registry.tlog
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-6.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-7.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-8.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-9.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-10.manifest
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-4.manifest
- %TEMP%\esu4bb0.tmp
Удаляет следующие файлы:
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3292-8.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3276-7.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3276-6.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3240-5.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3240-4.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3240-3.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3240-2.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3240-1.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3148-8.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3136-7.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3136-6.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3096-5.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3096-4.manifest
- %TEMP%\esu4bb0.tmp
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3096-3.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3096-1.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3124-12.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-11.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-10.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-9.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-8.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-7.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-6.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-5.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-4.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-3.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-2.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\2992-1.manifest
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\SKEL\3096-2.manifest
- %TEMP%\esu2fd2.tmp
Перемещает следующие файлы:
- %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\Registry.rw.tvr.lck.CRNJEUFU.ffffffffb8c в %TEMP%\Online TVx [7sky.AT.ua & Noby.uCoz.Ru]\Registry.rw.tvr.lck
Сетевая активность:
Подключается к:
- 'localhost':1037
- 'localhost':1038
- 'je##wap.com':80
- 'localhost':1041
- 'pa##ref.ru':80
- 'on###etvx.com':80
- 'bi####f.zapto.org':4761
TCP:
Запросы HTTP GET:
- http://je##wap.com/sf/block.md5.txt
- http://pa##ref.ru/version.txt
- http://www.on###etvx.com/online_help_ru.html via on###etvx.com
- http://go.##tswap.com/ssflang.php?it######## via je##wap.com
- http://www.on###etvx.com/downloads/cupdate.dat via on###etvx.com
- http://www.on###etvx.com/downloads/update.zip via on###etvx.com
UDP:
- DNS ASK je##wap.com
- DNS ASK pa##ref.ru
- DNS ASK www.on###etvx.com
- DNS ASK go.##tswap.com
- DNS ASK bi####f.zapto.org
Другое:
Ищет следующие окна:
- ClassName: 'OTVX_MainWnd' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: '?????????? ?????? ??????? Online TVx'
- ClassName: '' WindowName: 'Обновление списка каналов Online TVx'
- ClassName: '' WindowName: '?????????? Online TVx'
- ClassName: '' WindowName: 'Обновление Online TVx'
Создает и запускает на исполнение:
- '%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:690722 "__IRAFN:<Полный путь к файлу>" "__IRCT:2" "__IRTSS:0" "__IRSID:S-1-5-21-2052111302-484763869-725345543-1003"
- '%TEMP%\Online TVx.exe'
- '%ProgramFiles%\uTorrent\uTorent.exe' /install /silent
- '%TEMP%\Online TVx.exe' -h
- '%ProgramFiles%\uTorrent\uTorent.exe'
Запускает на исполнение:
- '<SYSTEM32>\net.exe' start uTorrent
- '<SYSTEM32>\net1.exe' start uTorrent
