Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SecurityCenter' = '%APPDATA%\Desktop Security\securitycenter.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Desktop Security' = '"%APPDATA%\Desktop Security\Desktop Security 2010.exe" /STARTUP'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'oqn9upuvumo0' = '<Полный путь к вирусу>'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\Desktop Security\securitycenter.exe
- %APPDATA%\Desktop Security\Desktop Security 2010.exe
- %TEMP%\_2.tmpac7d.exe -p"18:55" -y -o"%APPDATA%\Desktop Security"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\ppddfcfux.exxe
- %TEMP%\eelnvd13.exe
- %TEMP%\sycre.exe
- %TEMP%\hodeme.exe
- %TEMP%\backd-efq.exe
- %TEMP%\17dkf.exe
- %TEMP%\dd10x10.exe
- %TEMP%\jdhellwo3.exe
- %TEMP%\wrcud12.exe
- %TEMP%\gedx_ae09.exe
- %TEMP%\lorsk.exe
- %TEMP%\hhbboll_2.exe
- %TEMP%\snowif.exe
- %TEMP%\kilslmd.exex
- %TEMP%\fe.exe
- %TEMP%\dkfjd93.exe
- %TEMP%\kjdh_gf_jjdhgd.exe
- %TEMP%\alerfa.exe
- %TEMP%\eephilpe.exe
- %TEMP%\pswwg3c.exe
- %TEMP%\qas5.tmp
- %TEMP%\qwedvor.exe
- %HOMEPATH%\Start Menu\Programs\Desktop Security.lnk
- %APPDATA%\Desktop Security\securityhelper.exe
- %HOMEPATH%\Start Menu\Programs\Desktop Security\Desktop Security.lnk
- %HOMEPATH%\Start Menu\Programs\Desktop Security\How to Activate Desktop Security.lnk
- %HOMEPATH%\Start Menu\Programs\Desktop Security\Activate Desktop Security.lnk
- %TEMP%\_2.tmpac7d.exe
- %TEMP%\qas1.tmp
- %APPDATA%\Desktop Security\Desktop Security 2010.exe
- %APPDATA%\Desktop Security\taskmgr.dll
- %APPDATA%\Desktop Security\securitycenter.exe
- %HOMEPATH%\Start Menu\Programs\Desktop Security\Help Desktop Security.lnk
- %TEMP%\472a10e2ebxd9.exe
- %TEMP%\winlogoff.exe
- %TEMP%\ds7hw.exe
- %TEMP%\dc_3.exe
- %TEMP%\lols.exe
- %TEMP%\qas3.tmp
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\Desktop Security.lnk
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ea[1].php
- %TEMP%\qas4.tmp
- %TEMP%\wrfwe_di.exe
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ea[1].php
- %TEMP%\qas4.tmp
- %TEMP%\qas5.tmp
- %TEMP%\qas1.tmp
- %TEMP%\_2.tmpac7d.exe
- %TEMP%\qas3.tmp
Сетевая активность:
Подключается к:
- 'ht###work.com':80
- 'localhost':1038
TCP:
Запросы HTTP GET:
- ht###work.com/ea.php?p=#######
UDP:
- DNS ASK 13######54.httpsquer.com
- DNS ASK ht###work.com
- DNS ASK 13######11.httpsquer.com
- DNS ASK 13######93.httpsquer.com
- '<IP-адрес в локальной сети>':1041
- '<IP-адрес в локальной сети>':1039
- '<IP-адрес в локальной сети>':1036
- '<IP-адрес в локальной сети>':1037
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
