Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN] 'taskwin' = '<Полный путь к файлу>'
Вредоносные функции
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Microsoft\Internet Account Manager]
- [HKLM\Software\Wow6432Node\Microsoft\Windows Mail]
- [HKCU\Software\Microsoft\Windows Mail]
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012025012920250130\index.dat
Сетевая активность
Подключается к
- 'no#####.awardspace.biz':80
- 'sm##.#erra.com.br':25
TCP
Запросы HTTP GET
- http://no#####.awardspace.biz/infos.php?no#######################################
Другие
- 'sm##.#erra.com.br':25
UDP
- DNS ASK no#####.awardspace.biz
- DNS ASK sm##.#erra.com.br
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
