Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\services\KavSky] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\ProgramData\KavSky\msinfo.exe'
- '%TEMP%\RarSFX0\msinfo.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\ProgramData\KavSky\msinfo.exe
- %WINDIR%\Temp\kl-setup-2014-10-16-17-50-01.log
- C:\ProgramData\KavSky\lxcokzuerl
- C:\ProgramData\KavSky\msi.dll
- %TEMP%\RarSFX0\msi.dll
- %TEMP%\RarSFX0\msinfo.exe
- %TEMP%\kl-setup-2014-10-16-17-50-00.log
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\ProgramData\KavSky\msinfo.exe
- C:\ProgramData\KavSky\msi.dll.eng
- C:\ProgramData\KavSky\msi.dll
Удаляет следующие файлы:
- %TEMP%\RarSFX0\msi.dll.eng
- %TEMP%\RarSFX0\msi.dll
- %TEMP%\RarSFX0\msinfo.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'sy#####pdate5.dtdns.net':53
- 'ad######shupdate.dynu.com':8080
- 'fu####sgolda.com':80
TCP:
Запросы HTTP GET:
- fu####sgolda.com/605A990AD57ED5B94AA41266
- fu####sgolda.com/12BF75DE87E4B28CFD09EF3A
- fu####sgolda.com/C51E43693A438018AF68BCC5
- fu####sgolda.com/48B5D8F8BDDB15A733005255
- fu####sgolda.com/FAF87217701DAEC6E541EB73
- fu####sgolda.com/AE1A87BE233FC46C98640119
UDP:
- DNS ASK sy#####pdate5.dtdns.net
- DNS ASK dn#.##ftncsi.com
- DNS ASK fu####sgolda.com
- DNS ASK ad######shupdate.dynu.com
Другое:
Ищет следующие окна:
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
