Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SysCtl' = '%HOMEPATH%\AppData\Local\Microsoft\SearchIndexer.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\n_prep.cmd
- %HOMEPATH%\AppData\Local\Microsoft\SearchIndexer.txt
Перемещает следующие файлы:
- %HOMEPATH%\AppData\Local\Microsoft\SearchIndexer.txt в %HOMEPATH%\AppData\Local\Microsoft\SearchIndexer.exe
Сетевая активность:
Подключается к:
- 'localhost':1037
- '17#.#27.91.123':80
- 'ga#####0x02.dvrdns.org':80
TCP:
Запросы HTTP GET:
- http://17#.#27.91.123/answer.php?id##
- http://ga#####0x02.dvrdns.org/answer.php?id####
UDP:
- DNS ASK ga#####0x02.dvrdns.org
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: 'NGX4.2'
- ClassName: '' WindowName: 'NGX4.2 (open)'
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c %TEMP%\n_prep.cmd
- '<SYSTEM32>\reg.exe' ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v SysCtl /t REG_SZ /d "%HOMEPATH%\AppData\Local\Microsoft\SearchIndexer.exe"
