Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\264578.exe
- %TEMP%\263859.exe
- %TEMP%\268234.exe
- %TEMP%\267453.exe
- %TEMP%\266750.exe
- %TEMP%\265875.exe
- %TEMP%\265078.exe
- %TEMP%\268968.exe
- %TEMP%\261515.exe
- %TEMP%\260468.exe
- %TEMP%\262265.exe
- %TEMP%\263093.exe
- %TEMP%\268968.exe (загружен из сети Интернет)
- %TEMP%\267453.exe (загружен из сети Интернет)
- %TEMP%\268234.exe (загружен из сети Интернет)
- %TEMP%\266750.exe (загружен из сети Интернет)
- %TEMP%\262265.exe (загружен из сети Интернет)
- %TEMP%\263093.exe (загружен из сети Интернет)
- %TEMP%\260468.exe (загружен из сети Интернет)
- %TEMP%\261515.exe (загружен из сети Интернет)
- %TEMP%\265078.exe (загружен из сети Интернет)
- %TEMP%\265875.exe (загружен из сети Интернет)
- %TEMP%\263859.exe (загружен из сети Интернет)
- %TEMP%\264578.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c ""%TEMP%\abcd.bat" "<Полный путь к вирусу>" "
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\BulletProof Software\BulletProof FTP Client\Options]
- [<HKCU>\Software\BPFTP]
- [<HKCU>\Software\BPFTP\Bullet Proof FTP\Options]
- [<HKCU>\Software\BPFTP\Bullet Proof FTP\Main]
- [<HKCU>\Software\BulletProof Software\BulletProof FTP Client\Main]
- [<HKCU>\Software\Sota\FFFTP\Options]
- [<HKCU>\Software\South River Technologies\WebDrive\Connections]
- [<HKLM>\Software\South River Technologies\WebDrive\Connections]
- [<HKCU>\Software\FTP Explorer\Profiles]
- [<HKCU>\Software\CoffeeCup Software\Internet\Profiles]
- [<HKCU>\Software\FTPWare\COREFTP\Sites]
- [<HKLM>\Software\FlashFXP]
- [<HKCU>\Software\Far2\SavedDialogHistory\FTPHost]
- [<HKCU>\Software\Ghisler\Windows Commander]
- [<HKCU>\Software\Far\SavedDialogHistory\FTPHost]
- [<HKCU>\Software\Far\Plugins\FTP\Hosts]
- [<HKCU>\Software\Far2\Plugins\FTP\Hosts]
- [<HKLM>\Software\Ghisler\Windows Commander]
- [<HKCU>\Software\FlashFXP]
- [<HKLM>\Software\FlashFXP\3]
- [<HKCU>\Software\FlashFXP\3]
- [<HKCU>\Software\Ghisler\Total Commander]
- [<HKLM>\Software\Ghisler\Total Commander]
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\267453.exe
- %TEMP%\266750.exe
- %TEMP%\265875.exe
- %TEMP%\abcd.bat
- %TEMP%\268968.exe
- %TEMP%\268234.exe
- %TEMP%\265078.exe
- %TEMP%\262265.exe
- %TEMP%\261515.exe
- %TEMP%\260468.exe
- %TEMP%\264578.exe
- %TEMP%\263859.exe
- %TEMP%\263093.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'pe####nplanning.com':80
- '18#.#07.222.147':80
- 'sa###salta.cl':80
- 'ma#####edekparca.info':80
- 'ma###goit.pl':80
- 'fl####ellrent.com':80
- 'pl###oinart.be':80
- 'es#####naragdolls.de':80
- '2.###coramo.com':80
- '2.####excelente.com':80
- 'ku###icaret.com':80
- 'ho###winfo.info':80
- 'www.10#####8.wavelearn.de':80
- 'www.ga###ubber.com':80
TCP:
Запросы HTTP GET:
- ma#####edekparca.info/nW8KcF.exe
- pe####nplanning.com/CX1.exe
- 18#.#07.222.147/c6uHT1.exe
- ma###goit.pl/ZBrBpBh2.exe
- fl####ellrent.com/x9d.exe
- pl###oinart.be/Ue7cHNm.exe
- www.ga###ubber.com/NPY.exe
- ku###icaret.com/v6e7WMJ.exe
- es#####naragdolls.de/Si7ySG.exe
- sa###salta.cl/8Mo.exe
- ho###winfo.info/8fhr0.exe
- www.10#####8.wavelearn.de/4pxp.exe
Запросы HTTP POST:
- 2.###coramo.com/forum/viewtopic.php
- 2.####excelente.com/forum/viewtopic.php
UDP:
- DNS ASK ma#####edekparca.info
- DNS ASK pe####nplanning.com
- DNS ASK sa###salta.cl
- DNS ASK ma###goit.pl
- DNS ASK fl####ellrent.com
- DNS ASK pl###oinart.be
- DNS ASK ho###winfo.info
- DNS ASK es#####naragdolls.de
- DNS ASK 2.###coramo.com
- DNS ASK 2.####excelente.com
- DNS ASK www.10#####8.wavelearn.de
- DNS ASK www.ga###ubber.com
- DNS ASK ku###icaret.com
