Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\#Keybinder\intern\sapd_stxt.png
- <Текущая директория>\#Keybinder\intern\sapd_stpic_alternative.png
- <Текущая директория>\#Keybinder\intern\terror_stpic.png
- <Текущая директория>\#Keybinder\intern\ticker.txt
- <Текущая директория>\#Keybinder\intern\terror_stxt.png
- <Текущая директория>\#Keybinder\intern\sapd_stpic.png
- <Текущая директория>\#Keybinder\intern\saap_stpic.png
- <Текущая директория>\#Keybinder\intern\russen_stxt.png
- <Текущая директория>\#Keybinder\intern\saap_stxt.png
- <Текущая директория>\#Keybinder\intern\sani_stxt.png
- <Текущая директория>\#Keybinder\intern\sani_stpic.png
- <Текущая директория>\#Keybinder\intern\zivi_stxt.png
- <Текущая директория>\#Keybinder\intern\zivi_stpic.png
- <Текущая директория>\#Keybinder\settings.ini
- <Текущая директория>\#Keybinder\binder.exe
- <Текущая директория>\#Keybinder\msvcp120.dll
- <Текущая директория>\#Keybinder\intern\yaku_stxt.png
- <Текущая директория>\#Keybinder\intern\triaden_stxt.png
- <Текущая директория>\#Keybinder\intern\triaden_stpic.png
- <Текущая директория>\#Keybinder\intern\trucker_stpic.png
- <Текущая директория>\#Keybinder\intern\yaku_stpic.png
- <Текущая директория>\#Keybinder\intern\trucker_stxt.png
- <Текущая директория>\#Keybinder\intern\edit.png
- <Текущая директория>\#Keybinder\intern\check20.png
- <Текущая директория>\#Keybinder\intern\fbi_stpic.png
- <Текущая директория>\#Keybinder\intern\grove_stpic_alternative.png
- <Текущая директория>\#Keybinder\intern\fbi_stxt.png
- <Текущая директория>\#Keybinder\intern\blacklist.txt
- <Текущая директория>\#Keybinder\intern\army_stpic_alternative.png
- <Текущая директория>\#Keybinder\intern\afnk2.png
- <Текущая директория>\#Keybinder\intern\army_stxt.png
- <Текущая директория>\#Keybinder\intern\ballas_stxt.png
- <Текущая директория>\#Keybinder\intern\ballas_stpic.png
- <Текущая директория>\#Keybinder\intern\news_stxt.png
- <Текущая директория>\#Keybinder\intern\news_stpic.png
- <Текущая директория>\#Keybinder\intern\rand1.png
- <Текущая директория>\#Keybinder\intern\russen_stpic.png
- <Текущая директория>\#Keybinder\intern\rand2.png
- <Текущая директория>\#Keybinder\intern\log_logo.png
- <Текущая директория>\#Keybinder\intern\hitman_stpic.png
- <Текущая директория>\#Keybinder\intern\grove_stxt.png
- <Текущая директория>\#Keybinder\intern\hitman_stxt.png
- <Текущая директория>\#Keybinder\intern\msvcp120.dll
- <Текущая директория>\#Keybinder\intern\kill.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- <Текущая директория>\#Keybinder\msvcp120.dll
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'gi##ub.com':443
- 'www.de##r.de':80
TCP:
Запросы HTTP GET:
- www.de##r.de/coke/kbcontent/intern/sapd_stpic_alternative.png
- www.de##r.de/coke/kbcontent/intern/sapd_stpic.png
- www.de##r.de/coke/kbcontent/intern/sapd_stxt.png
- www.de##r.de/coke/kbcontent/intern/terror_stxt.png
- www.de##r.de/coke/kbcontent/intern/terror_stpic.png
- www.de##r.de/coke/kbcontent/intern/saap_stpic.png
- www.de##r.de/coke/kbcontent/intern/russen_stxt.png
- www.de##r.de/coke/kbcontent/intern/saap_stxt.png
- www.de##r.de/coke/kbcontent/intern/sani_stxt.png
- www.de##r.de/coke/kbcontent/intern/sani_stpic.png
- www.de##r.de/coke/kbcontent/intern/ticker.txt
- www.de##r.de/coke/kbcontent/intern/zivi_stpic.png
- www.de##r.de/coke/kbcontent/intern/yaku_stxt.png
- www.de##r.de/coke/kbcontent/intern/zivi_stxt.png
- www.de##r.de/coke/kbcontent/binder.exe
- www.de##r.de/coke/kbcontent/settings.ini
- www.de##r.de/coke/kbcontent/intern/triaden_stxt.png
- www.de##r.de/coke/kbcontent/intern/triaden_stpic.png
- www.de##r.de/coke/kbcontent/intern/trucker_stpic.png
- www.de##r.de/coke/kbcontent/intern/yaku_stpic.png
- www.de##r.de/coke/kbcontent/intern/trucker_stxt.png
- www.de##r.de/coke/kbcontent/intern/russen_stpic.png
- www.de##r.de/coke/kbcontent/intern/check20.png
- www.de##r.de/coke/kbcontent/intern/blacklist.txt
- www.de##r.de/coke/kbcontent/intern/edit.png
- www.de##r.de/coke/kbcontent/intern/fbi_stxt.png
- www.de##r.de/coke/kbcontent/intern/fbi_stpic.png
- www.de##r.de/coke/kbcontent/intern/army_stpic_alternative.png
- www.de##r.de/coke/kbcontent/intern/afnk2.png
- www.de##r.de/coke/kbcontent/intern/army_stxt.png
- www.de##r.de/coke/kbcontent/intern/ballas_stxt.png
- www.de##r.de/coke/kbcontent/intern/ballas_stpic.png
- www.de##r.de/coke/kbcontent/intern/grove_stpic_alternative.png
- www.de##r.de/coke/kbcontent/intern/news_stpic.png
- www.de##r.de/coke/kbcontent/intern/log_logo.png
- www.de##r.de/coke/kbcontent/intern/news_stxt.png
- www.de##r.de/coke/kbcontent/intern/rand2.png
- www.de##r.de/coke/kbcontent/intern/rand1.png
- www.de##r.de/coke/kbcontent/intern/hitman_stpic.png
- www.de##r.de/coke/kbcontent/intern/grove_stxt.png
- www.de##r.de/coke/kbcontent/intern/hitman_stxt.png
- www.de##r.de/coke/kbcontent/intern/msvcp120.dll
- www.de##r.de/coke/kbcontent/intern/kill.txt
UDP:
- DNS ASK gi##ub.com
- DNS ASK www.de##r.de
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
