Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:Generic Host Process for Win32 Services'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\dl_.txt
- <SYSTEM32>\check.txt
- %WINDIR%\bootf.txt
- %WINDIR%\schlog.txt
Сетевая активность:
Подключается к:
- '94.##0.191.201':2525
- 'we#####ghost.narod.ru':80
- '19#.#7.23.111':2525
TCP:
Запросы HTTP GET:
- we#####ghost.narod.ru/check.txt
UDP:
- DNS ASK sm##.mail.ru
- DNS ASK we#####ghost.narod.ru
