Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'xyznew' = '%TEMP%\1349.exe '
Вредоносные функции:
Создает и запускает на исполнение:
- C:\ltguihlr.exe
- C:\dqey.exe
- C:\baijoed.exe
- C:\rooo.exe
- C:\rdrrd.exe
- C:\nvthcp.exe
- %TEMP%\be4.exe
- %TEMP%\1349.exe
- %TEMP%\loaderadv668.exe
- %TEMP%\Oct2008.exe
- %TEMP%\xyznew.exe
- C:\yghcnruq.exe
- C:\baijoed.exe (загружен из сети Интернет)
- C:\rooo.exe (загружен из сети Интернет)
- C:\nvthcp.exe (загружен из сети Интернет)
- %TEMP%\be4.exe (загружен из сети Интернет)
- C:\yghcnruq.exe (загружен из сети Интернет)
- C:\dqey.exe (загружен из сети Интернет)
- C:\rdrrd.exe (загружен из сети Интернет)
- C:\ltguihlr.exe (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- C:\ltguihlr.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\uenooct[1].php
- C:\rdrrd.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\voylmmaa[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\jtznaoo[1].php
- C:\dqey.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1349[1].exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\tqanbocttq[1]
- C:\baijoed.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\vfopp[1].php
- C:\nvthcp.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\wibcpghqr[1].php
- C:\rooo.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tdnaoocp[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\be4[1].exe
- %TEMP%\nsd4.tmp
- %TEMP%\Oct2008.exe
- %TEMP%\Oct2008.txt
- %TEMP%\1349.exe
- %TEMP%\nsz2.tmp
- %TEMP%\be4.exe
- %TEMP%\loaderadv668.exe
- C:\-1998166001
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\vppcqdei[1].php
- C:\yghcnruq.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\lirfctghu[1].php
- %TEMP%\nsf6.tmp
- %TEMP%\xyznew.exe
- %TEMP%\xyznew.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\1349.exe
- %TEMP%\be4.exe
Удаляет следующие файлы:
- %TEMP%\loaderadv668.exe
Сетевая активность:
Подключается к:
- 'ch###.ic-soft.cn':80
- 'cf###hfyqo.com':80
TCP:
Запросы HTTP GET:
- cf###hfyqo.com/progs/wouuii/wibcpghqr.php
- cf###hfyqo.com/progs/wouuii/uenooct.php
- cf###hfyqo.com/progs/wouuii/tdnaoocp.php
- cf###hfyqo.com/progs/wouuii/vfopp.php?ad#################################################
- cf###hfyqo.com/progs/wouuii/tqanbocttq
- cf###hfyqo.com/progs/wouuii/voylmmaa.php
- cf###hfyqo.com/progs/wouuii/vppcqdei.php
- cf###hfyqo.com/progs/wouuii/lirfctghu.php?ad########
- ch###.ic-soft.cn/be4.exe
- ch###.ic-soft.cn/1349.exe
- cf###hfyqo.com/progs/wouuii/jtznaoo.php
UDP:
- DNS ASK ch###.ic-soft.cn
- DNS ASK cf###hfyqo.com
