Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'frm_Navnefringernes' = 'wscript "%HOMEPATH%\frm_Turnkeys\frm_STAVREDE.vbs"'
Создает или изменяет следующие файлы
- %WINDIR%\win.ini
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- '%TEMP%\ypgyzska.exe'
Внедряет код в
следующие пользовательские процессы:
- frm_stavrede.exe
Изменения в файловой системе
Создает следующие файлы
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\chiefo[1].exe
- %TEMP%\ypgyzska.exe
- %HOMEPATH%\frm_turnkeys\frm_stavrede.exe
- %HOMEPATH%\frm_turnkeys\frm_stavrede.vbs
- %APPDATA%\remcos\logs.dat
Сетевая активность
Подключается к
- 'pe####a.hopto.org':4344
TCP
Запросы HTTP GET
- http://pe#####.warzonedns.com:8080/bin/chiefo.exe
UDP
- DNS ASK pe#####.warzonedns.com
- DNS ASK pe####a.hopto.org
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\frm_turnkeys\frm_stavrede.exe'
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
