Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'quedix2' = '%HOMEPATH%\quedix2.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'quedix1' = '%HOMEPATH%\quedix1.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'santmoter1' = '%HOMEPATH%\santmoter1.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'BTStacPgn' = '%HOMEPATH%\BTStacPgn.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'santmoter2' = '%HOMEPATH%\santmoter2.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ortlukt' = '%HOMEPATH%\ortlukt.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'brasetuperr' = '%HOMEPATH%\brasetuperr.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'viviane1' = '%HOMEPATH%\viviane1.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ccsetuperr' = '%HOMEPATH%\ccsetuperr.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'itamiris23' = '%HOMEPATH%\itamiris23.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'geldrek' = '%HOMEPATH%\geldrek.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%HOMEPATH%\itamiris23.exe'
- '%HOMEPATH%\geldrek.exe'
- '%HOMEPATH%\santmoter2.exe'
- '%HOMEPATH%\santmoter1.exe'
- '%HOMEPATH%\quedix2.exe'
- '%HOMEPATH%\quedix1.exe'
- '%HOMEPATH%\ortlukt.exe'
- '%HOMEPATH%\BTStacPgn.exe'
- '%HOMEPATH%\viviane1.exe'
- '%HOMEPATH%\bbetuperr.exe'
- '%HOMEPATH%\brasetuperr.exe'
- '%HOMEPATH%\ccsetuperr.exe'
- '%HOMEPATH%\BTStacPgn.exe' (загружен из сети Интернет)
- '%HOMEPATH%\santmoter1.exe' (загружен из сети Интернет)
- '%HOMEPATH%\santmoter2.exe' (загружен из сети Интернет)
- '%HOMEPATH%\quedix2.exe' (загружен из сети Интернет)
- '%HOMEPATH%\brasetuperr.exe' (загружен из сети Интернет)
- '%HOMEPATH%\ccsetuperr.exe' (загружен из сети Интернет)
- '%HOMEPATH%\bbetuperr.exe' (загружен из сети Интернет)
- '%HOMEPATH%\viviane1.exe' (загружен из сети Интернет)
- '%HOMEPATH%\ortlukt.exe' (загружен из сети Интернет)
- '%HOMEPATH%\quedix1.exe' (загружен из сети Интернет)
- '%HOMEPATH%\geldrek.exe' (загружен из сети Интернет)
- '%HOMEPATH%\itamiris23.exe' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\quedix1.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\quedix2[1].mp3
- %HOMEPATH%\quedix2.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ortlukt[1].mp3
- %HOMEPATH%\ortlukt.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\quedix1[1].mp3
- %HOMEPATH%\santmoter2.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\BTStacPgn[1].mp3
- %HOMEPATH%\BTStacPgn.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\santmoter1[1].mp3
- %HOMEPATH%\santmoter1.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\santmoter2[1].mp3
- %HOMEPATH%\viviane1.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\brasetuperr[1].mp3
- %HOMEPATH%\brasetuperr.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\bbetuperr[1].mp3
- %HOMEPATH%\bbetuperr.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\viviane1[1].mp3
- %HOMEPATH%\geldrek.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\itamiris23[1].mp3
- %HOMEPATH%\itamiris23.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ccsetuperr[1].mp3
- %HOMEPATH%\ccsetuperr.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\geldrek[1].mp3
Сетевая активность:
Подключается к:
- 'ra#######s.web559.kinghost.net':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- ra#######s.web559.kinghost.net/brendinha/quedix2.mp3
- ra#######s.web559.kinghost.net/brendinha/quedix1.mp3
- ra#######s.web559.kinghost.net/brendinha/ortlukt.mp3
- ra#######s.web559.kinghost.net/brendinha/BTStacPgn.mp3
- ra#######s.web559.kinghost.net/brendinha/santmoter2.mp3
- ra#######s.web559.kinghost.net/brendinha/santmoter1.mp3
- ra#######s.web559.kinghost.net/brendinha/brasetuperr.mp3
- ra#######s.web559.kinghost.net/brendinha/viviane1.mp3
- ra#######s.web559.kinghost.net/brendinha/bbetuperr.mp3
- ra#######s.web559.kinghost.net/brendinha/itamiris23.mp3
- ra#######s.web559.kinghost.net/brendinha/geldrek.mp3
- ra#######s.web559.kinghost.net/brendinha/ccsetuperr.mp3
UDP:
- DNS ASK ra#######s.web559.kinghost.net
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
