Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '<Полный путь к вирусу>:del'
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' "%APPDATA%\sdwfjxo\scxrprr\wow.dll",0
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\cmd[1].0_32
- %APPDATA%\sdwfjxo\scxrprr\tmp2.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cmd[1].0_32
- %APPDATA%\sdwfjxo\scxrprr\tmp1.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\cmd[1].0_32
- %APPDATA%\sdwfjxo\scxrprr\tmp4.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\cmd[1].0_32
- %APPDATA%\sdwfjxo\scxrprr\tmp3.tmp
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\5d9e62fbb6ac75c7d5d22fb8b8493f7a_23ef5514-3059-436f-a4a7-4cefaab20eb1
- C:\System Volume Information\EFS0.LOG
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\97dec476-0d76-4ff7-8ce5-039c7d2ef6ed
- %APPDATA%\sdwfjxo\scxrprr\wow.ini
- <Полный путь к вирусу>:del
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\03A026DF7F67473F844B3B6149211D6D9349B08E
- %APPDATA%\sdwfjxo\scxrprr\wow.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\sdwfjxo\scxrprr\wow.dll
Удаляет следующие файлы:
- %APPDATA%\sdwfjxo\scxrprr\tmp3.tmp
- %APPDATA%\sdwfjxo\scxrprr\tmp4.tmp
- %APPDATA%\sdwfjxo\scxrprr\tmp2.tmp
- C:\System Volume Information\EFS0.LOG
- %APPDATA%\sdwfjxo\scxrprr\tmp1.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- '31.##4.192.215':80
- '19#.#8.174.45':80
- 'ff##d5.com':80
- 'localhost':1035
- 'f5##dc.com':80
TCP:
Запросы HTTP GET:
- 31.##4.192.215/cmd?ve############################################################################
- 19#.#8.174.45/cmd?ve############################################################################
- ff##d5.com/cmd?ve############################################################################
- f5##dc.com/log?in####################################################################################
- f5##dc.com/cmd?ve############################################################################
UDP:
- DNS ASK ff##d5.com
- DNS ASK f5##dc.com
