Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'TILSV' = '%HOMEPATH%\uros\Nonconjuga.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\uros\nonconjuga.exe
Сетевая активность
Подключается к
- 'me###fire.com':80
TCP
Запросы HTTP GET
- http://www.me###fire.com/file/6rxjwrx2p8s2j9w/NVPN7650_uwAKigT177.bin/file
- http://www.me###fire.com/error.php?er#######################
UDP
- DNS ASK me###fire.com
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe' (со скрытым окном)
