Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '5a61db202f6f70d1dd9ec94876e237a4' = '"%TEMP%\Mozilla.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '5a61db202f6f70d1dd9ec94876e237a4' = '"%TEMP%\Mozilla.exe" ..'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\5a61db202f6f70d1dd9ec94876e237a4.exe
- %HOMEPATH%\Start Menu\Programs\Startup\WIFI.exe
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\5a61db202f6f70d1dd9ec94876e237a4.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\Mozilla.exe' = '%TEMP%\Mozilla.exe:*:Enabled:Mozilla.exe'
Создает и запускает на исполнение:
- '%TEMP%\Mozilla.exe'
- '%TEMP%\WNetWatcher.exe'
- '%TEMP%\WIFI.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\Mozilla.exe" "Mozilla.exe" ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\WNetWatcher.exe
- %TEMP%\Mozilla.exe
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
- %TEMP%\WIFI.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <Имя диска съемного носителя>:\5a61db202f6f70d1dd9ec94876e237a4.exe
Удаляет следующие файлы:
- %TEMP%\aut2.tmp
- %TEMP%\aut1.tmp
Сетевая активность:
UDP:
- DNS ASK 75.#.#.10.in-addr.arpa
- DNS ASK 79.#.#.10.in-addr.arpa
- DNS ASK 80.#.#.10.in-addr.arpa
- DNS ASK 74.#.#.10.in-addr.arpa
- DNS ASK 77.#.#.10.in-addr.arpa
- DNS ASK 76.#.#.10.in-addr.arpa
- DNS ASK 78.#.#.10.in-addr.arpa
- DNS ASK 85.#.#.10.in-addr.arpa
- DNS ASK 86.#.#.10.in-addr.arpa
- DNS ASK 87.#.#.10.in-addr.arpa
- DNS ASK 84.#.#.10.in-addr.arpa
- DNS ASK 82.#.#.10.in-addr.arpa
- DNS ASK 81.#.#.10.in-addr.arpa
- DNS ASK 83.#.#.10.in-addr.arpa
- DNS ASK 64.#.#.10.in-addr.arpa
- DNS ASK 62.#.#.10.in-addr.arpa
- DNS ASK 66.#.#.10.in-addr.arpa
- DNS ASK 67.#.#.10.in-addr.arpa
- DNS ASK 37.#.#.10.in-addr.arpa
- DNS ASK 41.#.#.10.in-addr.arpa
- DNS ASK 63.#.#.10.in-addr.arpa
- DNS ASK 70.#.#.10.in-addr.arpa
- DNS ASK 69.#.#.10.in-addr.arpa
- DNS ASK 73.#.#.10.in-addr.arpa
- DNS ASK 72.#.#.10.in-addr.arpa
- DNS ASK 65.#.#.10.in-addr.arpa
- DNS ASK 68.#.#.10.in-addr.arpa
- DNS ASK 71.#.#.10.in-addr.arpa
- DNS ASK 88.#.#.10.in-addr.arpa
- DNS ASK me####lid.no-ip.org
- DNS ASK 17#.#.#.10.in-addr.arpa
- DNS ASK 18#.#.#.10.in-addr.arpa
- DNS ASK 16#.#.#.10.in-addr.arpa
- DNS ASK 13#.#.#.10.in-addr.arpa
- DNS ASK 14#.#.#.10.in-addr.arpa
- DNS ASK 15#.#.#.10.in-addr.arpa
- DNS ASK 23#.#.#.10.in-addr.arpa
- DNS ASK 24#.#.#.10.in-addr.arpa
- DNS ASK 25#.#.#.10.in-addr.arpa
- DNS ASK 22#.#.#.10.in-addr.arpa
- DNS ASK 19#.#.#.10.in-addr.arpa
- DNS ASK 20#.#.#.10.in-addr.arpa
- DNS ASK 21#.#.#.10.in-addr.arpa
- DNS ASK 93.#.#.10.in-addr.arpa
- DNS ASK 94.#.#.10.in-addr.arpa
- DNS ASK 95.#.#.10.in-addr.arpa
- DNS ASK 92.#.#.10.in-addr.arpa
- DNS ASK 89.#.#.10.in-addr.arpa
- DNS ASK 90.#.#.10.in-addr.arpa
- DNS ASK 91.#.#.10.in-addr.arpa
- DNS ASK 10#.#.#.10.in-addr.arpa
- DNS ASK 11#.#.#.10.in-addr.arpa
- DNS ASK 12#.#.#.10.in-addr.arpa
- DNS ASK 99.#.#.10.in-addr.arpa
- DNS ASK 96.#.#.10.in-addr.arpa
- DNS ASK 97.#.#.10.in-addr.arpa
- DNS ASK 98.#.#.10.in-addr.arpa
- DNS ASK 42.#.#.10.in-addr.arpa
- DNS ASK 43.#.#.10.in-addr.arpa
- DNS ASK 52.#.#.10.in-addr.arpa
- DNS ASK 51.#.#.10.in-addr.arpa
- DNS ASK 12.#.#.10.in-addr.arpa
- DNS ASK 48.#.#.10.in-addr.arpa
- DNS ASK 58.#.#.10.in-addr.arpa
- DNS ASK 56.#.#.10.in-addr.arpa
- DNS ASK 59.#.#.10.in-addr.arpa
- DNS ASK 49.#.#.10.in-addr.arpa
- DNS ASK 21.#.#.10.in-addr.arpa
- DNS ASK 31.#.#.10.in-addr.arpa
- DNS ASK 50.#.#.10.in-addr.arpa
- DNS ASK 13.#.#.10.in-addr.arpa
- DNS ASK 60.#.#.10.in-addr.arpa
- DNS ASK 9.#.#.#0.in-addr.arpa
- DNS ASK 11.#.#.10.in-addr.arpa
- DNS ASK 1.#.#.#0.in-addr.arpa
- DNS ASK 7.#.#.#0.in-addr.arpa
- DNS ASK 5.#.#.#0.in-addr.arpa
- DNS ASK 8.#.#.#0.in-addr.arpa
- DNS ASK 3.#.#.#0.in-addr.arpa
- DNS ASK 16.#.#.10.in-addr.arpa
- DNS ASK 55.#.#.10.in-addr.arpa
- DNS ASK 19.#.#.10.in-addr.arpa
- DNS ASK 26.#.#.10.in-addr.arpa
- DNS ASK 6.#.#.#0.in-addr.arpa
- DNS ASK 4.#.#.#0.in-addr.arpa
- DNS ASK 10.#.#.10.in-addr.arpa
- DNS ASK 53.#.#.10.in-addr.arpa
- DNS ASK 44.#.#.10.in-addr.arpa
- DNS ASK 36.#.#.10.in-addr.arpa
- DNS ASK 54.#.#.10.in-addr.arpa
- DNS ASK 25.#.#.10.in-addr.arpa
- DNS ASK 15.#.#.10.in-addr.arpa
- DNS ASK 28.#.#.10.in-addr.arpa
- DNS ASK 22.#.#.10.in-addr.arpa
- DNS ASK 30.#.#.10.in-addr.arpa
- DNS ASK 61.#.#.10.in-addr.arpa
- DNS ASK 38.#.#.10.in-addr.arpa
- DNS ASK 39.#.#.10.in-addr.arpa
- DNS ASK 35.#.#.10.in-addr.arpa
- DNS ASK 32.#.#.10.in-addr.arpa
- DNS ASK 40.#.#.10.in-addr.arpa
- DNS ASK 17.#.#.10.in-addr.arpa
- DNS ASK 47.#.#.10.in-addr.arpa
- DNS ASK 18.#.#.10.in-addr.arpa
- DNS ASK 23.#.#.10.in-addr.arpa
- DNS ASK 45.#.#.10.in-addr.arpa
- DNS ASK 20.#.#.10.in-addr.arpa
- DNS ASK 24.#.#.10.in-addr.arpa
- DNS ASK 34.#.#.10.in-addr.arpa
- DNS ASK 14.#.#.10.in-addr.arpa
- DNS ASK 27.#.#.10.in-addr.arpa
- DNS ASK 29.#.#.10.in-addr.arpa
- DNS ASK 46.#.#.10.in-addr.arpa
- DNS ASK 57.#.#.10.in-addr.arpa
- DNS ASK 33.#.#.10.in-addr.arpa
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
