Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\<Имя вируса>.lnk
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""<Текущая директория>\jndsftf.bat""
- '<SYSTEM32>\cmd.exe' /c ""<Текущая директория>\jtbubiad.bat""
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\eu[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\eu[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\eu[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\eu[2].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\eu[2].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\eu[2].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\eu[3].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\eu[3].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\eu[2].txt
- <Текущая директория>\jndsftf.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\google.com[1]
- <Текущая директория>\config\name.drv
- <Текущая директория>\jtbubiad.bat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\google.com[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\google.com[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\eu[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ip-adress[1]
- <Текущая директория>\config\tm.t
Удаляет следующие файлы:
- <Текущая директория>\config\tm.t
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\google.com[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\eu[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\google.com[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\google.com[1]
Сетевая активность:
Подключается к:
- 'www.e-###oong.com':80
- 'www.wa##asch.at':80
- 'www.gj###han.org':80
- 'www.ar####.uw.edu.pl':80
- 'me#####lon.ismu.ac.in':80
- 'www.ro######ntainfairies.com':80
- 'www.he###tone.pe.kr':80
- 'www.ip###ress.com':80
- 'www.go###e.com.br':80
- 'www.ki###teel.co.nz':80
- 'www.sw###room.net':80
- 'ol.##thch.net':80
TCP:
Запросы HTTP GET:
- www.e-###oong.com/pung/bbs/include/eu.txt
- www.wa##asch.at/cms/mambots/search/eu.txt
- www.gj###han.org/zboard/data/eu.txt
- www.ar####.uw.edu.pl/podrecznikegea/DynWeb/js/eu.txt
- me#####lon.ismu.ac.in/mechabotix/eu.txt
- www.ro######ntainfairies.com/dev/incl/eu.txt
- www.he###tone.pe.kr/12_bbs/data/eu.txt
- www.ip###ress.com/
- www.go###e.com.br/
- www.ki###teel.co.nz/bbs/data/news/eu.txt!http://www.kacep.com/bbs/data/paper_31/eu.txt
- www.sw###room.net/~main/bbs/data/admin_gallery/1184820567/eu.txt
- ol.##thch.net/bbs/data/eu.txt$http://www.numerousmoney.com/bbs/data/counterfeit/1160639913/eu.txt
UDP:
- DNS ASK me#####lon.ismu.ac.in
- DNS ASK www.ar####.uw.edu.pl
- DNS ASK www.e-###oong.com
- DNS ASK www.ro######ntainfairies.com
- DNS ASK www.cm##jx.cn
- DNS ASK www.cz##nxin.cn
- DNS ASK www.bj###ngfu.cn
- DNS ASK www.ci####tteboats.se
- DNS ASK www.he###tone.pe.kr
- DNS ASK ol.##thch.net
- DNS ASK www.go###e.com.br
- DNS ASK www.ip###ress.com
- DNS ASK www.gj###han.org
- DNS ASK www.wa##asch.at
- DNS ASK www.sw###room.net
- DNS ASK www.ki###teel.co.nz
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: 'jhgj6565445ggggh'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
