Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'V2011' = '%WINDIR%\V2011.exe'
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\v2011\svchost.exe
- %WINDIR%\v2011.exe
- C:\documents and settings\all users\start menu\programs\startup\svchost.scr
- %WINDIR%\temp\2011.exe
- <Текущая директория>\afc9fe2f418b00a0.bat
Самоудаляется.
Сетевая активность
Подключается к
- 'ge####123.3322.org':2011
UDP
- DNS ASK ge####123.3322.org
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\v2011\svchost.exe'
- '%TEMP%\v2011\svchost.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c afc9fe2f418b00a0.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c afc9fe2f418b00a0.bat
