Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'FxStudio' = '%HOMEPATH%\FxStudio.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%HOMEPATH%\FxMCfg.exe'
- '%HOMEPATH%\FxStudio.exe'
- '%HOMEPATH%\FxMCfg.exe' (загружен из сети Интернет)
- '%HOMEPATH%\FxStudio.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c "%HOMEPATH%\fxconfig.bat"
Изменения в файловой системе:
Создает следующие файлы:
- C:\fxconfigxs.ed
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\4[1].gif
- C:\fxcg1.ed
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\2[1].gif
- C:\fxconfigi.ed
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\1[1].gif
- %HOMEPATH%\fxconfig.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\3[1].gif
- C:\fxconfig.ed
Перемещает следующие файлы:
- C:\fxconfigxs.ed в %HOMEPATH%\SecondaryFX.rtk
- C:\fxcg1.ed в %HOMEPATH%\FxSec.exe
- C:\fxconfig.ed в %HOMEPATH%\FxStudio.exe
- C:\fxconfigi.ed в %HOMEPATH%\FxMCfg.exe
Сетевая активность:
Подключается к:
- 'www.ka##p.org':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- www.ka##p.org/img/4.gif
- www.ka##p.org/img/2.gif
- www.ka##p.org/img/1.gif
- www.ka##p.org/img/3.gif
UDP:
- DNS ASK www.ka##p.org
