Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- '%APPDATA%\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
- %WINDIR%\syswow64\cmstp.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль nss3.dll
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\vbc.exe
- %APPDATA%\zone\filefield.xml
- %APPDATA%\zone\subject.xml
- %APPDATA%\zone\hxdsui.dll
- %TEMP%\zh_tw\hangul-keyboard-3y.xml
- %TEMP%\zh_tw\org.gnome.evolution-data-server.addressbook.gschema.xml
- %TEMP%\zh_tw\directory.xml
- %TEMP%\zh_tw\imagegenres.dll
- %TEMP%\zh_tw\chardevice.xml
- %TEMP%\zh_tw\73.opends60.dll
- %TEMP%\zh_tw\x-java.xml
- %TEMP%\zh_tw\hamilton.xml
- %TEMP%\zh_tw\incident.xml
- %TEMP%\zh_tw\20.opends60.dll
- %TEMP%\zh_tw\33.opends60.dll
- %TEMP%\.githead\fs\natdbgeeui.dll
- %TEMP%\.githead\fs\24.opends60.dll
- %TEMP%\.githead\fs\mathml+xml.xml
- %TEMP%\nsobd07.tmp\nsexec.dll
- %TEMP%\nsobd05.tmp
- %TEMP%\walnut
- %TEMP%\committeeship.dll
Удаляет следующие файлы
- %TEMP%\nsobd07.tmp\nsexec.dll
Сетевая активность
TCP
Запросы HTTP GET
- http://ra##modu.ga/~zadmin/doc/ap.exe
UDP
- DNS ASK ra##modu.ga
Другое
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\rundll32.exe' Committeeship,Hemlock
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\cmstp.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\SysWOW64\cmd.exe"
