Техническая информация
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1C00' = '{00,00,00,00}'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'CurrentLevel' = '{00,00,00,00}'
- [<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyServer' = '127.0.0.1:9666'
- [<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '127.0.0.1'
Изменения в файловой системе
Создает следующие файлы
- <PATH_SAMPLE>mgr.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\vr78m91v\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\gew0g5xa\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\l3iur8n5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7518tjr8\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- <Текущая директория>\utmp\bmejgactkttg0j5k
- <Текущая директория>\utmp\taadiwmjotjj0c3u
- <Текущая директория>\utmp\dcfotqgilsii9z9a
- %TEMP%\~tm1e4.tmp
- %TEMP%\~tm109.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7518tjr8\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\l3iur8n5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\gew0g5xa\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\vr78m91v\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
Удаляет следующие файлы
- %TEMP%\~tm109.tmp
- %TEMP%\~tm1e4.tmp
Сетевая активность
Подключается к
- '65.#9.14.84':443
- '11#.#05.87.62':443
- '11#.#05.72.156':443
- '20#.#62.28.23':443
- '16#.#9.248.247':443
- '72.##2.235.12':443
- '20#.#88.97.96':443
- '22#.#31.141.46':443
- '63.##5.209.72':443
- '17#.#80.215.100':443
- 'go###e.com.my':80
- '21#.#4.118.189':443
- 'go##le.se':80
- 'go###e.com.ph':80
- 'go##le.ru':80
- 'go##le.us':80
- 'go###e.com.br':80
- 'localhost':9666
- 's3.###zonaws.com':443
- 'sa###e.nps.edu':443
- 'ma##.sarai.net':443
- '65.#9.14.11':443
- '65.#9.14.59':443
- 'go##le.info':80
- '21#.#60.109.6':443
TCP
Запросы HTTP GET
- http://go###e.com.br/gwt/n?u=###################################################
- http://go##le.us/gwt/n?u=##################################################################################
- http://go##le.ru/gwt/n?u=############################################################################################
- http://14#.#51.1.94/gwt/n?u=####################################################################
- http://64.##3.162.103/gwt/n?u=##############################################################################
- http://go##le.se/gwt/n?u=##################################################################
- http://74.##5.205.94/gwt/n?u=##################################################################
Другие
- 'sa###e.nps.edu':443
- 's3.###zonaws.com':443
UDP
- DNS ASK gb##.###xwqtb.q08phd.info
- DNS ASK ma##.sarai.net
- DNS ASK sa###e.nps.edu
- DNS ASK s3.###zonaws.com
- DNS ASK go###e.com.ph
- DNS ASK go###e.com.br
- DNS ASK go##le.us
- DNS ASK go##le.ru
- DNS ASK go##le.info
- DNS ASK go##le.se
- DNS ASK go###e.com.my
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '<PATH_SAMPLE>mgr.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
