Техническая информация
Вредоносные функции:
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1C00' = '{00,00,00,00}'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'CurrentLevel' = '{00,00,00,00}'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = '127.0.0.1:9666'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '127.0.0.1'
- [<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1.tmp\2.bat
- %TEMP%\1.tmp\FakeIP.exe
- %TEMP%\1.tmp\utmp\~fwjpsjwyf7s2o0p
- %TEMP%\1.tmp\utmp\~mtblerjeg6d9x1s
- %TEMP%\1.tmp\utmp\~laqoaetjs3d8y1h
- %TEMP%\1.tmp\utmp\u.exe
- %HOMEPATH%\PUTTY.RND
Удаляет следующие файлы:
- %TEMP%\1.tmp\FakeIP.exe
- %TEMP%\1.tmp\2.bat
Сетевая активность:
Подключается к:
- 'do.##ype.com':443
- 'd1#######4n9uf.cloudfront.net':443
- 'a.###.fastly.net':443
- '74.##5.232.51':443
- 'gm##l.com':443
- 'ec###s1.msn.com':443
- '20#.#6.232.182':443
- 'localhost':1075
- 'localhost':9666
UDP:
- DNS ASK do.##ype.com
- DNS ASK d0.###static.com
- DNS ASK aj##.#spnetcdn.com
- DNS ASK s3#######theast-1.amazonaws.com
- DNS ASK a0.###static.com
- DNS ASK db#######poiv.cloudfront.net
- DNS ASK d8#######ohrb.cloudfront.net
- DNS ASK d1#######5186l.cloudfront.net
- DNS ASK iecvlist.microsoft.com
- DNS ASK fa##ly.net
- DNS ASK s3.###zonaws.com
- DNS ASK ft#.##osbwfiq.info
- DNS ASK www.vo.##ecnd.net
- DNS ASK ft#.##jyhvmbc.info
- DNS ASK ajax.microsoft.com
- DNS ASK ft#.##melgn.info
- DNS ASK ec###s1.msn.com
- DNS ASK mail.google.com
- DNS ASK www.gm##l.com
- DNS ASK www.google.com
- DNS ASK a.###.fastly.net
- DNS ASK d1#######4n9uf.cloudfront.net
- DNS ASK ra####.vo.msecnd.net
- DNS ASK www.fa##ly.net
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\1.tmp\FakeIP.exe'
- '%TEMP%\1.tmp\utmp\u.exe' -L="127.0.0.1:9666" -CID="518a92a2", -ProgPath="%TEMP%\1.tmp\\" -TmpPath="%TEMP%\1.tmp\utmp\\" -ConnMode=0 -version="1802100"
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\2.bat" <Полный путь к файлу>"
- '%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' -nohome
