Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SonyAgent' = '<Полный путь к вирусу>'
Вредоносные функции:
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKLM>\Software\Ghisler\Total Commander]
- [<HKLM>\Software\Ghisler\Windows Commander]
- [<HKCU>\Software\Ghisler\Total Commander]
- [<HKCU>\Software\FlashFXP]
- [<HKLM>\Software\BPFTP]
- [<HKCU>\Software\BPFTP]
- [<HKLM>\Software\FlashFXP]
- [<HKCU>\SOFTWARE\Far\Plugins\FTP\Hosts]
- [<HKCU>\Software\FTPWare\COREFTP\Sites]
- [<HKCU>\SOFTWARE\Microsoft\MessengerService]
- [<HKCU>\SOFTWARE\Far2\Plugins\FTP\Hosts]
- [<HKCU>\Software\Ghisler\Windows Commander]
- [<HKCU>\SOFTWARE\Far2\SavedDialogHistory\FTPHost]
- [<HKCU>\SOFTWARE\Far\SavedDialogHistory\FTPHost]
Изменения в файловой системе:
Создает следующие файлы:
- <DRIVERS>\npf.sys
- <SYSTEM32>\wpcap.dll
- <SYSTEM32>\Packet.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- <Полный путь к вирусу>
Сетевая активность:
Подключается к:
- '46.#3.55.77':80
- '46.##8.93.49':80
- '10#.#7.184.7':80
- '27.##.105.148':80
- '10#.#7.111.56':80
- '89.##3.203.45':80
- '46.##5.60.98':80
- 'localhost':1096
- 'localhost':1093
- '46.##3.167.89':80
- '91.##9.61.104':80
- 'localhost':1099
- '46.##5.47.211':80
- '18#.#65.67.103':80
- '77.##2.208.52':80
- '13#.#04.3.154':80
- '76.##.116.126':80
- '27.##2.144.9':80
- '11#.#55.235.80':80
- '93.##.75.115':80
- '77.##.190.113':80
- '46.#6.97.7':80
- '89.#8.52.30':80
- '31.##6.68.19':80
- '81.##3.156.131':80
- '15#.#24.76.30':80
- '21#.#2.213.63':80
- 'localhost':1090
- 'localhost':1054
- 'localhost':1051
- '17#.#58.186.24':80
- 'localhost':1060
- 'localhost':1057
- '77.##1.91.98':80
- 'localhost':1048
- 'localhost':1039
- '11#.#4.90.133':80
- 'localhost':1036
- 'localhost':1045
- '86.##0.243.29':80
- 'localhost':1042
- '14#.#70.227.93':80
- 'localhost':1081
- '10#.#7.184.14':80
- 'localhost':1078
- 'localhost':1087
- '19#.#60.195.98':80
- 'localhost':1084
- 'localhost':1075
- '17#.#8.42.222':80
- 'localhost':1066
- 'localhost':1063
- '10#.#62.16.19':80
- 'localhost':1072
- 'localhost':1069
TCP:
Запросы HTTP GET:
- 81.##3.156.131/main.htm
- 15#.#24.76.30/file.htm
- 77.##.190.113/main.htm
- 77.##.190.113/default.htm
- 21#.#2.213.63/default.htm
- 11#.#4.90.133/default.htm
- 77.##1.91.98/search.htm
- 21#.#2.213.63/login.htm
- 76.##.116.126/default.htm
- 11#.#55.235.80/install.htm
- 91.##9.61.104/setup.htm
- 27.##2.144.9/index.htm
- 11#.#55.235.80/login.htm
- 77.##2.208.52/main.htm
- 13#.#04.3.154/login.htm
- 93.##.75.115/online.htm
- 77.##2.208.52/start.htm
- 10#.#7.111.56/welcome.htm
- 89.##3.203.45/welcome.htm
- 27.##.105.148/default.htm
- 27.##.105.148/setup.htm
- 10#.#7.184.7/welcome.htm
- 46.##5.60.98/main.htm
- 86.##0.243.29/welcome.htm
- 46.##8.93.49/start.htm
- 18#.#65.67.103/main.htm
- 46.#6.97.7/setup.htm
- 89.#8.52.30/welcome.htm
- 11#.#4.90.133/index.htm
- 46.#6.97.7/default.htm
- 31.##6.68.19/setup.htm
- 18#.#65.67.103/file.htm
- 89.#8.52.30/online.htm
- 31.##6.68.19/online.htm
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
