Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'lsass.exe' = '%WINDIR%\lsass.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\serwer.exe
- %WINDIR%\UnRAR.exe e -o- -plol serwer.rar
- %WINDIR%\IPChanger.exe
Ищет следующие окна с целью
обнаружения различных программ и игр:
- ClassName: 'TibiaClient' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\serwer.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\site[1].php
- %WINDIR%\lsass.exe
- %WINDIR%\UnRAR.exe
- %WINDIR%\IPChanger.exe
- %WINDIR%\servers.fav
- %WINDIR%\serwer.rar
Удаляет следующие файлы:
- %WINDIR%\serwer.rar
- %WINDIR%\UnRAR.exe
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'za##.net':80
TCP:
Запросы HTTP GET:
- za##.net/ipch/site.php?v=#
UDP:
- DNS ASK za##.net
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
