Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] 'scvhost' = '<Полный путь к вирусу>'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\host[1].bdm
- <Текущая директория>\ilog.sys
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\host[1].bdm
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\host[1].bdm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\host[1].bdm
- <Текущая директория>\ilog.sys
Сетевая активность:
Подключается к:
- 'localhost':1078
- 'localhost':1081
- 'localhost':1084
- 'localhost':1069
- 'localhost':1072
- 'localhost':1075
- 'localhost':1087
- 'localhost':1099
- 'localhost':1102
- 'localhost':1105
- 'localhost':1090
- 'localhost':1093
- 'localhost':1096
- 'localhost':1039
- 'localhost':1042
- 'localhost':1045
- 'localhost':1035
- 'de#.my1.ru':80
- '25#.#55.255.255':3773
- 'localhost':1048
- 'localhost':1060
- 'localhost':1063
- 'localhost':1066
- 'localhost':1051
- 'localhost':1054
- 'localhost':1057
TCP:
Запросы HTTP GET:
- de#.my1.ru/host.bdm
UDP:
- DNS ASK de#.my1.ru
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: '(null)'
