Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras13' = 'C:\img\r0x13.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras14' = 'C:\img\r0x14.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras11' = 'C:\img\r0x11.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras12' = 'C:\img\r0x12.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras15' = 'C:\img\r0x15.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras18' = 'C:\img\r0x18.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras19' = 'C:\img\r0x19.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras16' = 'C:\img\r0x16.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras17' = 'C:\img\r0x17.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras10' = 'C:\img\r0x10.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras3' = 'C:\img\r0x3.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras4' = 'C:\img\r0x4.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras1' = 'C:\img\r0x1.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras2' = 'C:\img\r0x2.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras5' = 'C:\img\r0x5.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras8' = 'C:\img\r0x8.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras9' = 'C:\img\r0x9.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras6' = 'C:\img\r0x6.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'msnmsoras7' = 'C:\img\r0x7.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- C:\img\r0x11.exe
- C:\img\r0x12.exe
- C:\img\r0x13.exe
- C:\img\r0x8.exe
- C:\img\r0x9.exe
- C:\img\r0x10.exe
- C:\img\r0x17.exe
- C:\img\r0x18.exe
- C:\img\r0x19.exe
- C:\img\r0x14.exe
- C:\img\r0x15.exe
- C:\img\r0x16.exe
- C:\img\r0x7.exe
- C:\img\r0x3.exe
- C:\img\r0x4.exe
- C:\img\r0x5.exe
- C:\img\r0x6.exe
- C:\img\r0x2.exe
- C:\img\r0x1.exe
- C:\img\r0x2.exe (загружен из сети Интернет)
- C:\img\r0x14.exe (загружен из сети Интернет)
- C:\img\r0x15.exe (загружен из сети Интернет)
- C:\img\r0x1.exe (загружен из сети Интернет)
- C:\img\r0x18.exe (загружен из сети Интернет)
- C:\img\r0x17.exe (загружен из сети Интернет)
- C:\img\r0x16.exe (загружен из сети Интернет)
- C:\img\r0x19.exe (загружен из сети Интернет)
- C:\img\r0x9.exe (загружен из сети Интернет)
- C:\img\r0x5.exe (загружен из сети Интернет)
- C:\img\r0x8.exe (загружен из сети Интернет)
- C:\img\r0x7.exe (загружен из сети Интернет)
- C:\img\r0x6.exe (загружен из сети Интернет)
- C:\img\r0x10.exe (загружен из сети Интернет)
- C:\img\r0x13.exe (загружен из сети Интернет)
- C:\img\r0x3.exe (загружен из сети Интернет)
- C:\img\r0x12.exe (загружен из сети Интернет)
- C:\img\r0x11.exe (загружен из сети Интернет)
- C:\img\r0x4.exe (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- C:\img\r0x14.exe
- C:\img\r0x15.exe
- C:\img\r0x13.exe
- C:\img\r0x11.exe
- C:\img\r0x12.exe
- C:\img\r0x19.exe
- C:\img\temp20.php
- C:\img\r0x18.exe
- C:\img\r0x16.exe
- C:\img\r0x17.exe
- C:\img\r0x4.exe
- C:\img\r0x5.exe
- C:\img\r0x3.exe
- C:\img\r0x1.exe
- C:\img\r0x2.exe
- C:\img\r0x9.exe
- C:\img\r0x10.exe
- C:\img\r0x8.exe
- C:\img\r0x6.exe
- C:\img\r0x7.exe
Сетевая активность:
Подключается к:
- 'ge####alampada.com':80
- '20#.#.158.116':80
TCP:
Запросы HTTP GET:
- 20#.#.158.116/pts/ic.exe
- 20#.#.158.116/pts/id.exe
- 20#.#.158.116/pts/ib.exe
- 20#.#.158.116/pts/fi.exe
- 20#.#.158.116/pts/fs.exe
- 20#.#.158.116/pts/
- ge####alampada.com//install/sql/mysql/inf.php
- 20#.#.158.116/pts/ii.exe
- 20#.#.158.116/pts/ih.exe
- 20#.#.158.116/pts/is.exe
- 20#.#.158.116/pts/cs.exe
- 20#.#.158.116/pts/cd.exe
- 20#.#.158.116/pts/ci.exe
- 20#.#.158.116/pts/cb.exe
- 20#.#.158.116/pts/cf.exe
- 20#.#.158.116/pts/fd.exe
- 20#.#.158.116/pts/fh.exe
- 20#.#.158.116/pts/fc.exe
- 20#.#.158.116/pts/ch.exe
- 20#.#.158.116/pts/fb.exe
UDP:
- DNS ASK ge####alampada.com
