Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'apiMgIME' = '%APPDATA%\Microsoft\Acle3d10\d3dx0_33.exe'
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- 'C:\wpvesyh\igljqxb\ondhjbb.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\cmd.exe
следующие пользовательские процессы:
- iexplore.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль nss3.dll
- Процесс iexplore.exe, модуль urlmon.dll
- Процесс firefox.exe, модуль advapi32.dll
- Процесс firefox.exe, модуль urlmon.dll
- Процесс firefox.exe, модуль wininet.dll
- Процесс iexplore.exe, модуль wininet.dll
- Процесс iexplore.exe, модуль advapi32.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Microsoft\Windows Mail]
- [<HKCU>\Software\Microsoft\Windows Live Mail]
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\]
Изменения в файловой системе
Создает следующие файлы
- C:\wpvesyh\igljqxb\ondhjbb.exe
- mailslot\sl7b4
- %APPDATA%\microsoft\acle3d10\d3dx0_33.exe
- %TEMP%\df9.bi1
- %TEMP%\cd1.bi1
Удаляет следующие файлы
- C:\wpvesyh\igljqxb\ondhjbb.exe
- %TEMP%\cd1.bi1
- %TEMP%\df9.bi1
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\lns[1].exe
Сетевая активность
TCP
Запросы HTTP GET
- http://zo###seller.com/lns.exe
- http://al###xpress1.at/images/a7JR0gfu_2B/P0b2XxSnIxZYjI/VxFpzTkUHHF4HBSIE5tU6/_2FxSibpNMBmn1qO/S0XlO7IYsz6Hh05/JwWaCDJLQ2ng7txRUj/RmGn_2FMd/GsIqw4PAKUaXfPwQzvry/mzrwUTrWqO9rVur5_2B/cSfYw0m3F7Q...
- http://al###xpress1.at/images/mFYbG3otrpQgHjttGToRy7/vw317shpoPret/mRPWFHNT/Kz0vmj49vD7F9WcxxLBuoe5/SUr9evR1eO/j4ay_2F0BfyHWbIjI/5ThoFhIhsbW5/Jp3jjTME_2F/7KUJPCMjDOR1h_/2Fa7AvS8zFK90xSpvAGdv/s_...
UDP
- DNS ASK zo###seller.com
- DNS ASK re#####r1.opendns.com
- DNS ASK 22#.###.67.208.in-addr.arpa
- DNS ASK my##.#pendns.com
- DNS ASK al###xpress1.at
Другое
Ищет следующие окна
- ClassName: 'ProgMan' WindowName: ''
Создает и запускает на исполнение
- 'C:\wpvesyh\igljqxb\ondhjbb.exe' ' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' Shell32.dll,Control_RunDLL /?' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C pause dll mail, ,' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\control.exe' /?
- '<SYSTEM32>\rundll32.exe' Shell32.dll,Control_RunDLL /?
- '<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\DF9.bi1"
- '<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\CD1.bi1"
- '<SYSTEM32>\nslookup.exe' myip.opendns.com resolver1.opendns.com
- '<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\CD1.bi1"
- '<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\DF9.bi1"
- '%WINDIR%\syswow64\cmd.exe' /C pause dll mail, ,
