Техническая информация
Вредоносные функции
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Identities\{D6909BE8-EA09-4677-9635-1238019FCABC}\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Identities\{D6909BE8-EA09-4677-9635-1238019FCABC}\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
- [<HKCU>\Software\Microsoft\MSNMessenger]
- [<HKCU>\Software\Yahoo\Pager]
- [<HKCU>\Software\Microsoft\IdentityCRL]
- [<HKCU>\Software\Microsoft\Windows Live Mail]
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Trillian]
- [<HKLM>\Software\Miranda]
- [<HKCU>\Software\America Online\AOL Instant Messenger (TM)\CurrentVersion\Users]
- [<HKCU>\Software\America Online\AIM6\Passwords]
- [<HKCU>\Software\AIM\AIMPRO]
- [<HKLM>\Software\Mirabilis\ICQ\NewOwners]
- [<HKCU>\Software\Mirabilis\ICQ\NewOwners]
- [<HKCU>\Software\Paltalk]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- <LS_APPDATA>\google\chrome\user data\default\web data
- <LS_APPDATA>\google\chrome\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe
- %TEMP%\2pac.exe
- %TEMP%\mpv.exe
- %TEMP%\wbp.exe
- %TEMP%\wbvp.txt
- %TEMP%\mespv.exe
- %TEMP%\pv.exe
- %TEMP%\pvp.txt
- nul
Удаляет следующие файлы
- %TEMP%\2pac.exe
- %TEMP%\mpv.exe
- %TEMP%\wbp.exe
- %TEMP%\wbvp.txt
- %TEMP%\mespv.exe
- %TEMP%\pv.exe
- %TEMP%\pvp.txt
Подменяет следующие файлы
- %TEMP%\2pac.exe
Сетевая активность
Подключается к
- 'ch##.host':25
UDP
- DNS ASK ch##.host
Другое
Создает и запускает на исполнение
- '%TEMP%\exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe'
- '%TEMP%\mpv.exe' /stext %TEMP%\mpvp.txt
- '%TEMP%\wbp.exe' /stext %TEMP%\WBVP.txt
- '%TEMP%\mespv.exe' /stext %TEMP%\mespvp.txt
- '%TEMP%\pv.exe' /stext %TEMP%\pvp.txt
- '%TEMP%\mpv.exe' /stext %TEMP%\mpvp.txt' (со скрытым окном)
- '%TEMP%\wbp.exe' /stext %TEMP%\WBVP.txt' (со скрытым окном)
- '%TEMP%\mespv.exe' /stext %TEMP%\mespvp.txt' (со скрытым окном)
- '%TEMP%\pv.exe' /stext %TEMP%\pvp.txt' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C ping 1.1.1.1 -n 1 -w 500 > Nul & Del "%TEMP%\exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C ping 1.1.1.1 -n 1 -w 500 > Nul & Del "%TEMP%\exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe.exe"
- '<SYSTEM32>\ping.exe' 1.1.1.1 -n 1 -w 500
