Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'zmfqahuv' = '"%WINDIR%\ilrpovap.exe"'
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\attrib.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\lsass.exe
- <SYSTEM32>\spoolsv.exe
- <SYSTEM32>\alg.exe
- <SYSTEM32>\ctfmon.exe
- <SYSTEM32>\services.exe
- System
- <SYSTEM32>\attrib.exe
- <SYSTEM32>\smss.exe
- <SYSTEM32>\winlogon.exe
- %WINDIR%\Explorer.EXE
следующие пользовательские процессы:
- drweb.exe
- Drweb32w.exe
- drweb386.exe
- ClamWin.exe
- bdagent.exe
- bdss.exe
- bdsubmit.exe
- ekrn.exe
- fsav.exe
- fsav32.exe
- egni.exe
- Drwebupw.exe
- Drwebwcl.exe
- ecmd.exe
- AVSYNMGR.EXE
- ashAvast.exe
- ashAvSrv.exe
- avgcc.exe
- ash.exe
- 360tray.exe
- ageofconan.exe
- aion.exe
- AVP32.EXE
- AVPCC.EXE
- AVPM.EXE
- AVP.EXE
- AVGCC32.EXE
- AVGCTRL.EXE
- AVP.COM
Изменения в файловой системе:
Создает следующие файлы:
- C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\af03aebc-b12a-44fa-865a-5ad65d339148
- C:\Documents and Settings\NetworkService\Application Data\Microsoft\Protect\S-1-5-20\Preferred
- %ALLUSERSPROFILE%\Application Data\owotoqys\evuhajul.dat
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\6d14e4b1d8ca773bab785d1be032546e_23ef5514-3059-436f-a4a7-4cefaab20eb1
- C:\Documents and Settings\NetworkService\Application Data\Microsoft\Crypto\RSA\S-1-5-20\dd8c7d4588a7bad5e1907f00c4a553ce_23ef5514-3059-436f-a4a7-4cefaab20eb1
- C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\3509f2ff-6eb1-4021-9393-7aed73ffaf35
- C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\a2d3dd88-8bb6-4b51-96da-dab1e6d62e94
- C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\7b58d861-f07a-42b2-89cc-a9a855b55eff
- C:\Documents and Settings\LocalService\Application Data\Microsoft\Protect\S-1-5-19\0ed85b02-9e40-4871-8f02-a6034c971807
- %WINDIR%\ilrpovap.exe
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\40c7030e-5fd8-45c3-886c-254248bb4d67
- %ALLUSERSPROFILE%\Application Data\owotoqys\ihijapic.dat
- %ALLUSERSPROFILE%\Application Data\Sun\ebesusuf.bkp
- %ALLUSERSPROFILE%\Application Data\owotoqys\ifexixew.dat
- %ALLUSERSPROFILE%\Application Data\Sun\ihijapic.bkp
- %ALLUSERSPROFILE%\Application Data\owotoqys\ebesusuf.dat
Сетевая активность:
Подключается к:
- 'wi###edia.org':80
- '20#.#6.232.182':80
- 'fa###ook.com':80
- 're####le-dns.co.uk':443
TCP:
Запросы HTTP GET:
- 20#.#6.232.182/
- wi###edia.org/
- fa###ook.com/
UDP:
- DNS ASK wi###edia.org
- DNS ASK microsoft.com
- DNS ASK fa###ook.com
- DNS ASK re####le-dns.co.uk
Другое:
Ищет следующие окна:
- ClassName: 'shell_traywnd' WindowName: '(null)'
