Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'bpk' = '%PROGRAM_FILES%\Internet Explorer\bpk.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\bpk.exe'
- '%TEMP%\RarSFX0\Mr. OoPpSs.exe'
- '%TEMP%\RarSFX0\rinst.exe'
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: %PROGRAM_FILES%\Internet Explorer\bpkhk.dll
Завершает или пытается завершить
следующие пользовательские процессы:
- mpftray.exe
- NAVAPW32.EXE
- fsav32.exe
- GUARD.EXE
- ZONEALARM.EXE
- ntvdm.exe
- outpost.exe
- zapro.exe
- fsav.exe
- AVP.EXE
- AVP32.EXE
- AVGCC32.EXE
- AVGCTRL.EXE
- AVSYNMGR.EXE
- bdss.exe
- AVPCC.EXE
- AVPM.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-44-243765
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-41-240734
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-50-249812
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-47-246718
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-38-237718
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-29-228750
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-26-225796
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-35-234796
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-32-231734
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-18-14-273906
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-18-11-271046
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-18-20-279781
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-18-17-276812
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-18-08-267875
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-59-258828
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-56-255687
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-18-05-264937
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-18-02-261890
- %PROGRAM_FILES%\Internet Explorer\pk.bin
- %TEMP%\RarSFX0\rinst.exe
- %PROGRAM_FILES%\Internet Explorer\bpkhk.dll
- %PROGRAM_FILES%\Internet Explorer\bpk.exe
- %TEMP%\RarSFX0\Mr. OoPpSs.exe
- %TEMP%\RarSFX0\inst.dat
- %TEMP%\RarSFX0\pk.bin
- %TEMP%\RarSFX0\bpk.exe
- %TEMP%\RarSFX0\bpkhk.dll
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-17-216875
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-14-213734
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-23-222796
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-20-219812
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-11-210875
- %PROGRAM_FILES%\Internet Explorer\rinst.exe
- %PROGRAM_FILES%\Internet Explorer\inst.dat
- %PROGRAM_FILES%\Internet Explorer\dt\2014-03-31_22-17-06-208984
- %PROGRAM_FILES%\Internet Explorer\temporary.bmp
Удаляет следующие файлы:
- %TEMP%\RarSFX0\rinst.exe
- %TEMP%\RarSFX0\Mr. OoPpSs.exe
- %PROGRAM_FILES%\Internet Explorer\temporary.bmp
- %TEMP%\RarSFX0\inst.dat
- %TEMP%\RarSFX0\pk.bin
- %TEMP%\RarSFX0\bpk.exe
- %TEMP%\RarSFX0\bpkhk.dll
Перемещает следующие файлы:
- %PROGRAM_FILES%\Internet Explorer\rinst.exe в %PROGRAM_FILES%\Internet Explorer\bpkr.exe
Сетевая активность:
Подключается к:
- 'ma##.#3indya.com':25
UDP:
- DNS ASK ma##.#3indya.com
- DNS ASK i3##dya.com
Другое:
Ищет следующие окна:
- ClassName: 'RichEdit20A' WindowName: '(null)'
- ClassName: 'Button' WindowName: 'ICQ'
- ClassName: 'MButtonClass' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'PKL Window'
- ClassName: 'NDDEAgnt' WindowName: 'NetDDE Agent'
