Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\srtwe] 'Start' = '00000001'
Вредоносные функции:
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtTerminateProcess, драйвер-обработчик: srtwe.sys
- NtOpenKey, драйвер-обработчик: srtwe.sys
- NtCreateKey, драйвер-обработчик: srtwe.sys
Изменения в файловой системе:
Создает следующие файлы:
- <DRIVERS>\srtwe.sys
Сетевая активность:
Подключается к:
- 'ma##.###lin-01.mx.aol.com':25
- 'ma##.#niontrade.biz':25
- '20#.#2.169.15':80
- '20#.#2.168.97':80
TCP:
Запросы HTTP GET:
- 20#.#2.169.15/nnn3
- 20#.#2.169.15/nnn2
- 20#.#2.169.15/nnn1
UDP:
- DNS ASK ma##.#niontrade.biz
- DNS ASK un###trade.biz
- DNS ASK ma##.##uster-club.info
- DNS ASK cl####r-club.info
- DNS ASK ma##.###lin-01.mx.aol.com
- DNS ASK 20#.#2.168.97
- DNS ASK 20#.#2.168.151
- DNS ASK ma#####01.mx.aol.com
- '<IP-адрес в локальной сети>':1040
