Техническая информация
Вредоносные функции:
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'TRW2000 for Windows 9x'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\E_4\spec.fne
- %TEMP%\E_4\Syunew6D.dll
- %TEMP%\E_4\RegEx.fnr
- %TEMP%\E_4\eAPI.fne
- %TEMP%\E_4\SkinH_EL.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\3d2008[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\ffweb[1].txt
- C:\skinh.she
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ver[1].txt
- %TEMP%\E_4\krnln.fnr
- %TEMP%\E_4\EThread.fne
- %TEMP%\$$$$$$$$.{D6277990-4C6A-11CF-8D87-00AA0060F5BF}\C428\ $$$2\com1.{21EC2020-3AEA-1069-A2DD-08002B30309D}\{4CFD5805-F1CD-4145-8476-9A2D0203F445}
- %TEMP%\E_4\iext.fnr
- %TEMP%\E_4\commobj.fne
- %TEMP%\E_4\shell.fne
- %TEMP%\E_4\iext2.fne
- %TEMP%\E_4\internet.fne
Удаляет следующие файлы:
- C:\skinh.she
Изменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'do##me.com':80
- 'wa##d.com':80
TCP:
Запросы HTTP GET:
- wa##d.com/not/ffweb.txt
- do##me.com/3d2008.txt
- wa##d.com/ver.txt
UDP:
- DNS ASK do##me.com
- DNS ASK wa##d.com
Другое:
Ищет следующие окна:
- ClassName: 'ACPU' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'TDeDeMainWindow' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'TWX2002 for Windows 9x'
- ClassName: '(null)' WindowName: 'RegmonClass'
