Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WMail Service' = '%APPDATA%\wmail-service.exe'
Вредоносные функции:
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\su[1].php
- %APPDATA%\wmail-service.exe
- <Текущая директория>\cpp_logfile.txt
Сетевая активность:
Подключается к:
- 'co##oi.it':80
- 'fu##stop.it':80
- 'ad####itoria.cnt.br':80
- 'www.ca#####atorres.com.ar':80
- 'localhost':1054
- 'ar##m.net':80
- 'ma####ilawski.com':80
- 'wp#d':80
- 'ma####.website.pl':80
- 'ge####struzioni.biz':80
- 'so##mp.biz':80
TCP:
Запросы HTTP GET:
- fu##stop.it/sito/wp-content/module/joomla.php
- ar##m.net/wp-includes/module/joomla.php
- co##oi.it/sito/wp-includes/module/joomla.php
- www.ca#####atorres.com.ar/images/stories/tech/computers/users/su.php
- ad####itoria.cnt.br/online/module/joomla1.php
- ma####ilawski.com/images/galerie/skanypublikacjiksiazkowych/wychowanietechniczneelektronikanacodzien/thumbs/joomla1.php
- wp#d/wpad.dat
- ma####.website.pl/media/system/js/joomla1.php
- ge####struzioni.biz/sito/wp-content/module/joomla.php
- so##mp.biz/sito2/images/module/joomla.php
UDP:
- DNS ASK fu##stop.it
- DNS ASK ar##m.net
- DNS ASK co##oi.it
- DNS ASK www.ca#####atorres.com.ar
- DNS ASK ad####itoria.cnt.br
- DNS ASK ma####ilawski.com
- DNS ASK wp#d
- DNS ASK ma####.website.pl
- DNS ASK ge####struzioni.biz
- DNS ASK so##mp.biz
Другое:
Ищет следующие окна:
- ClassName: 'IEFrame' WindowName: '(null)'
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: '' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
Изменяет значение AutoConfigURL
