Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Classes\exefile\shell\open\command] '' = '%WINDIR%\svchost.com "%1" %*'
Заражает следующие исполняемые файлы
- C:\MSOCache\All Users\{90140000-0011-0000-0000-0000000FF1CE}-C\ose.exe
- %HOMEPATH%\Desktop\tcm851ax32.exe
- %HOMEPATH%\Desktop\skypesetup.exe
- %HOMEPATH%\Desktop\jre-7u75-windows-i586-iftw.exe
- %HOMEPATH%\Desktop\chromesetup.exe
- %APPDATA%\Telegram Desktop\Updater.exe
- %APPDATA%\Telegram Desktop\unins000.exe
- %APPDATA%\QipGuard\QipGuard_upd.exe
- %APPDATA%\qipguard\qipguard.exe
- %APPDATA%\ICQM\ICQ\dll\mailrusputnik.exe
- %ALLUSERSPROFILE%\Package Cache\{f0080ca2-80ae-4958-b6eb-e8fa916d744a}\vcredist_x86.exe
- %ALLUSERSPROFILE%\Package Cache\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\VC_redist.x86.exe
- %HOMEPATH%\desktop\utorrent.exe
- %ALLUSERSPROFILE%\Package Cache\{6c95b50e-cb5a-4a1f-a7b4-8a6004f8dd6a}\vcredist_x86.exe
- %ALLUSERSPROFILE%\Package Cache\{2af972c7-13b0-4978-92a8-fee26a4fb4e9}\vcredist_x86.exe
- %ALLUSERSPROFILE%\Package Cache\{01db25f3-1b76-4d97-88c8-1c90634d88fb}\vcredist_x86.exe
- %ALLUSERSPROFILE%\Adobe\Setup\{AC76BA86-7AD7-1033-7B44-AB0000000001}\setup.exe
- %ALLUSERSPROFILE%\Adobe\Setup\{AC76BA86-7AD7-1033-7B44-AB0000000001}\RDC\setup.exe
- %ALLUSERSPROFILE%\Adobe\ARM\Reader_10.0.0\23770\ReaderUpdater.exe
- %ALLUSERSPROFILE%\Adobe\ARM\Reader_10.0.0\23770\AdobeARMHelper.exe
- %ALLUSERSPROFILE%\Adobe\ARM\Reader_10.0.0\23770\AdobeARM.exe
- %ALLUSERSPROFILE%\Adobe\ARM\Reader_10.0.0\23770\AcrobatUpdater.exe
- C:\MSOCache\All Users\{90140000-0115-0409-0000-0000000FF1CE}-C\dwtrig20.exe
- C:\MSOCache\All Users\{90140000-0115-0409-0000-0000000FF1CE}-C\DW20.EXE
- C:\MSOCache\All Users\{90140000-0011-0000-0000-0000000FF1CE}-C\setup.exe
- %ALLUSERSPROFILE%\Package Cache\{615bc16d-60f5-482e-91b3-b51d8130963b}\vcredist_x86.exe
- %HOMEPATH%\desktop\winmine.exe
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- %TEMP%\3582-490\vbc.exe
- %WINDIR%\svchost.com
- %LOCALAPPDATA%\apps\2.0\paxy2tl4.dk6\0l5hj4h1.d17\clicex~1.000\google~1.exe
Сетевая активность
Подключается к
- '17#.#45.26.190':80
TCP
Запросы HTTP GET
- http://17#.#45.26.190/aka/boy.exe
Другое
Создает и запускает на исполнение
- '%TEMP%\3582-490\vbc.exe'
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
