Техническая информация
Вредоносные функции:
Скрывает следующие процессы:
- <Полный путь к вирусу>
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\dlifh.dll
- <SYSTEM32>\hide.sys
- %TEMP%\aut4.tmp
- %WINDIR%\uplog.log
- <SYSTEM32>\vtwyk.dat
- %TEMP%\aut5.tmp
- %TEMP%\aut2.tmp
- %TEMP%\bvkzklf
- %TEMP%\aut1.tmp
- %TEMP%\ggvvxpl
- %TEMP%\aut3.tmp
- <SYSTEM32>\hideprocess.dll
Удаляет следующие файлы:
- <SYSTEM32>\hide.sys
- %TEMP%\aut4.tmp
- %TEMP%\aut5.tmp
- %TEMP%\dlifh.dll
- %TEMP%\ggvvxpl
- %TEMP%\bvkzklf
- %TEMP%\aut1.tmp
- %TEMP%\aut3.tmp
- %TEMP%\aut2.tmp
Самоперемещается:
- из <Полный путь к вирусу> в <Текущая директория>\temp.tmp
Сетевая активность:
Подключается к:
- '99#.#dwjp.net':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- 99#.#dwjp.net/up/yq.txt
UDP:
- DNS ASK 99#.#dwjp.net
- DNS ASK www.ba##u.com
- '<IP-адрес в локальной сети>':35782
Другое:
Ищет следующие окна:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
