Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ctpop' = '%PROGRAM_FILES%\ctpop\ctpop.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\dataup.exe
- %PROGRAM_FILES%\ctpop\ctpop.exe
- %PROGRAM_FILES%\ctpop\cnexe.exe
- %TEMP%\dataup.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\cmd.exe /c \DelUS.bat
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\dataup.exe
- %TEMP%\nsj4.tmp\NSISdl.dll
- %TEMP%\nsj4.tmp\SelfDelete.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ctpop[1].xml
- C:\DelUS.bat
- %PROGRAM_FILES%\ctpop\ctpop.exe
- %PROGRAM_FILES%\ctpop\cnexe.exe
- %TEMP%\nsl2.tmp\SelfDelete.dll
- %PROGRAM_FILES%\ctpop\uninst.exe
Удаляет следующие файлы:
- %TEMP%\nsj4.tmp\SelfDelete.dll
- %PROGRAM_FILES%\ctpop\cnexe.exe
- %TEMP%\nsl2.tmp\SelfDelete.dll
- %TEMP%\nsj4.tmp\NSISdl.dll
Самоудаляется.
Сетевая активность:
Подключается к:
- 'yo####04.cafe24.com':80
- 'localhost':1037
- '1.##4.83.91':80
TCP:
Запросы HTTP GET:
- yo####04.cafe24.com/log/?mo###########################################
- yo####04.cafe24.com/log/ctpop.xml
- 1.##4.83.91/files/dataup.dat
UDP:
- DNS ASK yo####04.cafe24.com
