Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'EARAT' = '%WINDIR%\EARAT.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\EARAT.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\dw.log
- %TEMP%\29168.dmp
- <LS_APPDATA>\EARAT\<Имя вируса>.exe_Url_hqhyc0ccon4alkgxc4ifkamnb3wj00nb\1.0.0.0\96frz8zy.newcfg
- %WINDIR%\EARAT.exe
Перемещает следующие файлы:
- <LS_APPDATA>\EARAT\<Имя вируса>.exe_Url_hqhyc0ccon4alkgxc4ifkamnb3wj00nb\1.0.0.0\96frz8zy.newcfg в <LS_APPDATA>\EARAT\<Имя вируса>.exe_Url_hqhyc0ccon4alkgxc4ifkamnb3wj00nb\1.0.0.0\user.config
Сетевая активность:
Подключается к:
- 'www.el#####alek.bplaced.com':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- www.el#####alek.bplaced.com/users.txt
- www.el#####alek.bplaced.com/earatcp.php?us##################
- wp#d/wpad.dat
- www.el#####alek.bplaced.com/earatcp.php?co########################################################
UDP:
- DNS ASK www.el#####alek.bplaced.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
