Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Startup' = '%APPDATA%\javaw\vjavaw.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\javaw\javaw.exe' /pid=3148
- '%APPDATA%\javaw\javaw.exe' /pid=5156
- '%APPDATA%\javaw\javaw.exe' /pid=5648
- '%APPDATA%\javaw\javaw.exe' /pid=4112
- '%APPDATA%\javaw\javaw.exe' /pid=6128
- '%APPDATA%\javaw\javaw.exe' /pid=5216
- '%APPDATA%\javaw\javaw.exe' /pid=2424
- '%APPDATA%\javaw\javaw.exe' /pid=4896
- '%APPDATA%\javaw\javaw.exe' /pid=1804
- '%APPDATA%\javaw\javaw.exe' /pid=5628
- '%APPDATA%\javaw\javaw.exe' /pid=4428
- '%APPDATA%\javaw\javaw.exe' /pid=5836
- '%APPDATA%\javaw\javaw.exe' /pid=4344
- '%APPDATA%\javaw\javaw.exe' /pid=2892
- '%APPDATA%\javaw\javaw.exe' /pid=5008
- '%APPDATA%\javaw\javaw.exe' /pid=5516
- '%APPDATA%\javaw\javaw.exe' /pid=2904
- '%APPDATA%\javaw\javaw.exe' /pid=5736
- '%APPDATA%\javaw\javaw.exe' /pid=5696
- '%APPDATA%\javaw\javaw.exe' /pid=2500
- '%APPDATA%\javaw\javaw.exe' /pid=5848
- '%APPDATA%\javaw\javaw.exe' /pid=640
- '%APPDATA%\javaw\javaw.exe' /pid=2412
- '%APPDATA%\javaw\javaw.exe' /pid=6076
- '%APPDATA%\javaw\javaw.exe' /pid=4916
- '%APPDATA%\javaw\javaw.exe' /pid=4056
- '%APPDATA%\javaw\javaw.exe' /pid=2024
- '%APPDATA%\javaw\javaw.exe' /pid=6048
- '%APPDATA%\javaw\javaw.exe' /pid=896
- '%APPDATA%\javaw\javaw.exe' /pid=3272
- '%APPDATA%\javaw\javaw.exe' /pid=4508
- '%APPDATA%\javaw\javaw.exe' /pid=1384
- '%APPDATA%\javaw\javaw.exe' /pid=3228
- '%APPDATA%\javaw\javaw.exe' /pid=4224
- '%APPDATA%\javaw\javaw.exe' /pid=6136
- '%APPDATA%\javaw\javaw.exe' /pid=6068
- '%APPDATA%\javaw\javaw.exe' /pid=268
- '%APPDATA%\javaw\javaw.exe' /pid=5956
- '%APPDATA%\javaw\javaw.exe' /pid=5408
- '%APPDATA%\javaw\javaw.exe' /pid=4928
- '%APPDATA%\javaw\javaw.exe' /pid=4124
- '%APPDATA%\javaw\javaw.exe' /pid=2992
- '%APPDATA%\javaw\javaw.exe' /pid=168
- '%APPDATA%\javaw\javaw.exe' /pid=5128
- '%APPDATA%\javaw\javaw.exe' /pid=5208
- '%APPDATA%\javaw\javaw.exe' /pid=5616
- '%APPDATA%\javaw\javaw.exe' /pid=5028
- '%APPDATA%\javaw\javaw.exe' /pid=5108
- '%APPDATA%\javaw\javaw.exe' /pid=5236
- '%APPDATA%\javaw\javaw.exe' /pid=5828
- '%APPDATA%\javaw\javaw.exe' /pid=4716
- '%APPDATA%\javaw\javaw.exe' -a sha256 -o http://gr###########gregory:x@eu.triplemining.com:8344 -t 1 -T 83 -l yes
- '%APPDATA%\javaw\javaw.exe' /pid=5096
- '%APPDATA%\javaw\javaw.exe' /pid=428
- '%APPDATA%\javaw\javaw.exe' /pid=3576
- '%APPDATA%\javaw\javaw.exe' /pid=3376
- '%APPDATA%\javaw\javaw.exe' /pid=3044
- '%APPDATA%\javaw\javaw.exe' /pid=3896
- '%APPDATA%\javaw\javaw.exe' /pid=3976
- '%APPDATA%\javaw\javaw.exe' /pid=3796
- '%APPDATA%\javaw\javaw.exe' /pid=4796
- '%APPDATA%\javaw\javaw.exe' /pid=3996
- '%APPDATA%\javaw\javaw.exe' /pid=452
- '%APPDATA%\javaw\javaw.exe' /pid=5116
- '%APPDATA%\javaw\javaw.exe' /pid=1492
- '%APPDATA%\javaw\javaw.exe' /pid=1388
- '%APPDATA%\javaw\javaw.exe' /pid=2184
- '%APPDATA%\javaw\javaw.exe' /pid=4396
- '%APPDATA%\javaw\javaw.exe' /pid=5748
- '%APPDATA%\javaw\javaw.exe' /pid=5508
- '%APPDATA%\javaw\javaw.exe' /pid=4332
- '%APPDATA%\javaw\javaw.exe' /pid=4836
- '%APPDATA%\javaw\javaw.exe' /pid=5708
- '%APPDATA%\javaw\javaw.exe' /pid=5928
- '%APPDATA%\javaw\javaw.exe' /pid=3060
- '%APPDATA%\javaw\javaw.exe' /pid=4996
- '%APPDATA%\javaw\javaw.exe' /pid=4212
- '%APPDATA%\javaw\javaw.exe' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\javaw\javaw.exe
Самоперемещается:
- из <Полный путь к вирусу> в %APPDATA%\javaw\vjavaw.exe
Сетевая активность:
Подключается к:
- 'de#####.googlecode.com':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- de#####.googlecode.com/files/Drefrag.exe
- wp#d/wpad.dat
UDP:
- DNS ASK de#####.googlecode.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
