Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<Полный путь к вирусу>:del'
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' %TEMP%\sorxewi\sapqrnm\wow.dll,0
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\cmd[1].0_32
- %TEMP%\sorxewi\sapqrnm\tmp2.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cmd[1].0_32
- %TEMP%\sorxewi\sapqrnm\tmp1.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cmd[1].0_32
- %TEMP%\sorxewi\sapqrnm\tmp4.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\cmd[1].0_32
- %TEMP%\sorxewi\sapqrnm\tmp3.tmp
- <Полный путь к вирусу>:del
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\6e8eb75dba7f6865cc2f496b8ae3848c_23ef5514-3059-436f-a4a7-4cefaab20eb1
- C:\System Volume Information\EFS0.LOG
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\ad28177b-e40c-4f2a-be80-f4f4ea921d09
- %TEMP%\sorxewi\sapqrnm\wow.ini
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\log[1].0_32
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\EA1602CB302D0B048C68CF1BDEB3F7CB6D4C6252
- %TEMP%\sorxewi\sapqrnm\wow.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\sorxewi\sapqrnm\wow.dll
Удаляет следующие файлы:
- %TEMP%\sorxewi\sapqrnm\tmp3.tmp
- %TEMP%\sorxewi\sapqrnm\tmp4.tmp
- %TEMP%\sorxewi\sapqrnm\tmp2.tmp
- C:\System Volume Information\EFS0.LOG
- %TEMP%\sorxewi\sapqrnm\tmp1.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ff##d5.com':80
- '31.##.221.142':80
- '19#.#8.59.155':80
- 'localhost':1035
- 'localhost':1036
- 'f5##dc.com':80
TCP:
Запросы HTTP GET:
- 31.##.221.142/cmd?ve############################################################################
- 19#.#8.59.155/cmd?ve############################################################################
- ff##d5.com/cmd?ve############################################################################
- f5##dc.com/log?in####################################################################################
- f5##dc.com/cmd?ve############################################################################
UDP:
- DNS ASK ff##d5.com
- DNS ASK f5##dc.com
