Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'elqf' = '"%ALLUSERSPROFILE%\application data\microsoft\tvxbk24\tvxbk24.exe"'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\tvxbk24.exe
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\tvxbk24.dll
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\tvxbk2.dll
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\MiniDump_3000.dmp
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\cyoqy2
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\cayeghv_tmp_%USERNAME%
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\cayeghv_%USERNAME%
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\ccayeghv_%USERNAME%
Удаляет следующие файлы:
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\cayeghv_tmp_%USERNAME%
Сетевая активность:
Подключается к:
- 'ip###ress.com':80
- 'ip####essworld.com':80
- 'up###.com.ua':80
- 're####ver.com.ua':31666
- '20#.#88.82.192':21
- 'du#1.in':80
- 'du#2.in':80
- 'ci###romo.info':80
- 'ft#.###terscentral.com':21
- 'sp###ate.info':80
- 's0##.###elboxmanager.com':21
- 'ft#.###einformation.com':21
- '19#.#40.132.196':21
TCP:
Запросы HTTP GET:
- http://www.ip###ress.com/what_is_my_ip/ via ip###ress.com
- http://www.ip####essworld.com/ via ip####essworld.com
Запросы HTTP POST:
- http://up###.com.ua/t
- http://du#1.in/t
- http://du#2.in/t
- http://ci###romo.info/t
- http://sp###ate.info/t
UDP:
- DNS ASK www.ip###ress.com
- DNS ASK www.ip####essworld.com
- DNS ASK 25#.###.#55.255.in-addr.arpa
- DNS ASK up###.com.ua
- DNS ASK re####ver.com.ua
- DNS ASK du#1.in
- DNS ASK du#2.in
- DNS ASK ci###romo.info
- DNS ASK ft#.###terscentral.com
- DNS ASK sp###ate.info
- DNS ASK s0##.###elboxmanager.com
- DNS ASK ft#.###einformation.com
Другое:
Ищет следующие окна:
- ClassName: 'tvxbk24%USERNAME%1264' WindowName: 'tvxbk24%USERNAME%1264'
- ClassName: 'tvxbk24%USERNAME%1008' WindowName: 'tvxbk24%USERNAME%1008'
- ClassName: 'tvxbk24%USERNAME%1348' WindowName: 'tvxbk24%USERNAME%1348'
- ClassName: 'tvxbk24%USERNAME%1408' WindowName: 'tvxbk24%USERNAME%1408'
- ClassName: 'tvxbk24%USERNAME%2292' WindowName: 'tvxbk24%USERNAME%2292'
- ClassName: 'tvxbk24%USERNAME%2316' WindowName: 'tvxbk24%USERNAME%2316'
- ClassName: 'tvxbk24%USERNAME%2340' WindowName: 'tvxbk24%USERNAME%2340'
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'tvxbk24%USERNAME%2900' WindowName: 'tvxbk24%USERNAME%2900'
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\tvxbk24.exe'
Запускает на исполнение:
- '%ProgramFiles%\Internet Explorer\IEXPLORE.EXE'
