Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'sender' = '%WINDIR%\help\sender.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Service Pack 3' = 'c:\Arquivos de programas\Internet Explorer\ctfmon.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'win32update' = '%WINDIR%\config\win32update.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'hpdeskjet' = '%WINDIR%\config\hpdeskjet.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'eraseplg' = '%WINDIR%\help\eraseplg.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\Help\eraseplgfi.exe
- %WINDIR%\Help\sender.exe
- %WINDIR%\Config\hpdeskjet.exe
- %WINDIR%\Help\sender.exe (загружен из сети Интернет)
- %WINDIR%\Config\hpdeskjet.exe (загружен из сети Интернет)
- %WINDIR%\Help\eraseplgfi.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\regsvr32.exe /s %WINDIR%\help\shdocvw.dll
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\sender[1].txt
- %WINDIR%\Help\sender.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\deleta[1].txt
- %WINDIR%\Help\eraseplg.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\shdocvw[1].txt
- %WINDIR%\Help\shdocvw.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ctfmon.txt[1].txt
- %WINDIR%\Help\cont.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\contqxt-tezin[1].php
- %WINDIR%\Help\deleta.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\win32update[1].txt
- %WINDIR%\Config\win32update.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\hpdeskjet[1].txt
- %WINDIR%\Config\hpdeskjet.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\taskmgrs[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\eraseplgfi[1].txt
- %WINDIR%\Help\eraseplgfi.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ctfmon[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\bsa[1].txt
- %WINDIR%\Config\ctfmon.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\eraseplg[1].txt
- %WINDIR%\Config\taskmgrs.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\wltray[1].txt
- %WINDIR%\Config\wltrays.exe
Сетевая активность:
Подключается к:
- 'www.ma#####ngvivo.com.br':80
- 'www.la####occo.adv.br':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- www.la####occo.adv.br/images/deleta.txt
- www.la####occo.adv.br/images/sender.txt
- www.la####occo.adv.br/images/shdocvw.txt
- www.ma#####ngvivo.com.br/contqxt-tezin.php
- www.la####occo.adv.br/images/ctfmon.txt.txt
- www.la####occo.adv.br/images/win32update.txt
- www.la####occo.adv.br/images/eraseplg.txt
- www.la####occo.adv.br/images/hpdeskjet.txt
- www.la####occo.adv.br/images/ctfmon.txt
- www.la####occo.adv.br/images/eraseplgfi.txt
- www.la####occo.adv.br/images/bsa.txt
- www.la####occo.adv.br/images/wltray.txt
- www.la####occo.adv.br/images/taskmgrs.txt
UDP:
- DNS ASK www.ma#####ngvivo.com.br
- DNS ASK www.la####occo.adv.br
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'TFDown' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
