Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pluneta' = '%HOMEPATH%\pluneta.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'rempluge' = '%HOMEPATH%\rempluge.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'protect' = '%HOMEPATH%\protect.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'outpro' = '%HOMEPATH%\outpro.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'grfcef' = '%HOMEPATH%\grfcef.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'gergeral' = '%HOMEPATH%\gergeral.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'remplbra' = '%HOMEPATH%\remplbra.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'quedix2' = '%HOMEPATH%\quedix2.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%HOMEPATH%\rempluge.exe'
- '%HOMEPATH%\remplbra.exe'
- '%HOMEPATH%\quedix2.exe'
- '%HOMEPATH%\protect.exe'
- '%HOMEPATH%\outpro.exe'
- '%HOMEPATH%\pluneta.exe'
- '%HOMEPATH%\grfcef.exe'
- '%HOMEPATH%\grfprog.exe'
- '%HOMEPATH%\gergeral.exe'
- '%HOMEPATH%\pluneta.exe' (загружен из сети Интернет)
- '%HOMEPATH%\protect.exe' (загружен из сети Интернет)
- '%HOMEPATH%\outpro.exe' (загружен из сети Интернет)
- '%HOMEPATH%\grfprog.exe' (загружен из сети Интернет)
- '%HOMEPATH%\quedix2.exe' (загружен из сети Интернет)
- '%HOMEPATH%\grfcef.exe' (загружен из сети Интернет)
- '%HOMEPATH%\remplbra.exe' (загружен из сети Интернет)
- '%HOMEPATH%\rempluge.exe' (загружен из сети Интернет)
- '%HOMEPATH%\gergeral.exe' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\rempluge.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\pluneta[1].jpg
- %HOMEPATH%\remplbra.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\rempluge[1].jpg
- %HOMEPATH%\pluneta.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\protect[1].jpg
- %HOMEPATH%\protect.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\outpro[1].jpg
- %HOMEPATH%\outpro.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\gergeral[1].jpg
- %HOMEPATH%\gergeral.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\grfprog[1].jpg
- %HOMEPATH%\grfprog.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\grfcef[1].jpg
- %HOMEPATH%\quedix2.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\remplbra[1].jpg
- %HOMEPATH%\grfcef.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\quedix2[1].jpg
Сетевая активность:
Подключается к:
- 'sa#####ande.jp22.net':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- sa#####ande.jp22.net/pluneta.jpg
- sa#####ande.jp22.net/rempluge.jpg
- sa#####ande.jp22.net/protect.jpg
- sa#####ande.jp22.net/outpro.jpg
- sa#####ande.jp22.net/remplbra.jpg
- sa#####ande.jp22.net/gergeral.jpg
- sa#####ande.jp22.net/grfprog.jpg
- sa#####ande.jp22.net/quedix2.jpg
- sa#####ande.jp22.net/grfcef.jpg
UDP:
- DNS ASK sa#####ande.jp22.net
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
