Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Полный путь к вирусу>' = '<Полный путь к вирусу>:*:Enabled:Foxy'
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\Conf\Caches.cfg
- <Текущая директория>\Conf\Share.cfg
- <Текущая директория>\Conf\Hashes.cfg
- %APPDATA%\Mogi2\torrent.ico
- %TEMP%\Mogi\Theme\status.bmp
- %TEMP%\Mogi\Theme\tools.bmp
- %TEMP%\Mogi\Theme\waiting.bmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\news[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\gofoxy[1].0
- <Текущая директория>\Conf\Connection.cfg
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ad[1]
- <Текущая директория>\Conf\Country.cfg
- <Текущая директория>\Update\Temp\MOLI_zh_CN.xml.pti.bak
- <Текущая директория>\Conf\Download.cfg.tmp
- %TEMP%\Mogi\Theme\button1.bmp
- %TEMP%\Mogi\Theme\dialog.bmp
- %TEMP%\Mogi\Theme\dialog_bg.bmp
- %TEMP%\Mogi\Theme\button.bmp
- <Текущая директория>\Conf\Settings.cfg
- %TEMP%\Mogi\Theme\about.bmp
- %TEMP%\Mogi\Theme\ad_middle.bmp
- %TEMP%\Mogi\Theme\notifier.bmp
- %TEMP%\Mogi\Theme\SearchCtrlBar.bmp
- %TEMP%\Mogi\Theme\splash.bmp
- %TEMP%\Mogi\Theme\MainTabs.bmp
- %TEMP%\Mogi\Theme\earth.bmp
- %TEMP%\Mogi\Theme\ie_icon.bmp
- %TEMP%\Mogi\Theme\MainFrame.bmp
Удаляет следующие файлы:
- <Текущая директория>\Update\Temp\MOLI_zh_CN.xml.pti
Перемещает следующие файлы:
- <Текущая директория>\Conf\Download.cfg.tmp в <Текущая директория>\Conf\Download.cfg
- <Текущая директория>\Update\Temp\MOLI_zh_CN.xml.pti.bak в <Текущая директория>\Update\Temp\MOLI_zh_CN.xml.pti
Сетевая активность:
Подключается к:
- '83.##9.117.56':4321
- '83.##9.104.124':4242
- '83.##9.104.123':4242
- '83.##9.123.188':4321
- '85.#7.35.53':4321
- '83.##9.98.16':4242
- '83.##9.123.189':4321
- '83.##9.104.122':4242
- '80.##2.110.146':4661
- '80.##9.200.99':3000
- '80.##9.200.112':3000
- 'www.em###.org.cn':80
- '83.##9.102.1':4242
- '83.##9.101.91':4321
- '81.##9.143.167':7777
- '85.#7.52.92':5000
- '19#.#13.0.30':3306
- '19#.#13.0.20':3306
- '19#.#13.0.10':3306
- '19#.#0.160.81':4661
- '21#.#51.133.129':6567
- '21#.#86.60.106':4661
- '21#.#12.243.146':4661
- '19#.#38.230.251':4242
- '89.##8.162.206':6543
- '89.##3.161.226':4661
- '85.#7.7.166':4647
- '19#.#38.205.25':5000
- '19#.#38.221.250':4661
- '19#.#38.221.214':4242
- '19#.#38.221.213':4242
- '22#.#86.190.39':4069
- '22#.#86.190.17':4099
- '20#.#05.109.5':4661
- '22#.#3.207.86':8080
- '62.##1.53.16':4242
- 'www.go##xy.net':80
- '62.##1.53.15':4242
- '59.##.30.132':8080
- 'da####.gofoxy.net':2106
- 'cn.####on.gofoxy.net':2107
- 'localhost':1037
- '58.##8.179.157':8080
- 'gw#.#ofoxy.net':2108
- 'mo##.moliyo.com':80
- '58.##8.202.170':8080
- '62.##1.53.17':4242
- '80.##9.200.107':3000
- '80.##9.200.106':3000
- '80.##9.200.105':3000
- '80.##9.200.108':3000
- '80.##9.200.111':3000
- '80.##9.200.110':3000
- '80.##9.200.109':3000
- '80.##9.200.104':3000
- '62.#41.53.4':4242
- '62.#41.53.3':4242
- '62.#41.53.2':4242
- '66.##.81.125':6543
- '80.##9.200.103':3000
- '80.##9.200.102':3000
- '80.##9.200.101':3000
TCP:
Запросы HTTP GET:
- www.go##xy.net/?ke#############################################################
- www.em###.org.cn/server.met
- mo##.moliyo.com/ad/
- mo##.moliyo.com/news/
UDP:
- DNS ASK gw#.#ofoxy.net
- DNS ASK www.go##xy.net
- DNS ASK www.em###.org.cn
- DNS ASK cn.####on.gofoxy.net
- DNS ASK da####.gofoxy.net
- DNS ASK mo##.moliyo.com
- '23#.#55.255.250':1900
- 'localhost':1057
- 'localhost':1056
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
