Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'Explorer.exe shellrun.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<Текущая директория>\0501977621.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\shellrun.exe
- <Текущая директория>\0501977621.exe
- <Текущая директория>\4666197833.exe
Удаляет следующие файлы:
- <Текущая директория>\4666197833.exe
Сетевая активность:
Подключается к:
- 'ma##.#iti.umich.edu':25
- 'ma##.#reeBSD.org':25
- 'ma##.##anlwinsoft.org':25
- 'ma##.#heriver.com':25
- 'ma##.pobox.com':25
- 'ma##.##sis.mif.vu.lt':25
- 'ma##.#stumbler.net':25
- 'ma##.#ic.nnov.ru':25
- 'ma##.narod.ru':25
- 'uk.##dernet.org':6667
- 'ma##.gmail.com':25
- '94.##0.191.201':25
- 'ma##.chat.ru':25
UDP:
- DNS ASK uo###.mif.vu.lt
- DNS ASK ma##.##sis.mif.vu.lt
- DNS ASK po##x.com
- DNS ASK ma##.#iti.umich.edu
- DNS ASK Fr##BSD.org
- DNS ASK ma##.#reeBSD.org
- DNS ASK ci##.umich.edu
- DNS ASK ma##.pobox.com
- DNS ASK ne###ape.com
- DNS ASK sh####rdstown.com
- DNS ASK ka##o.at
- DNS ASK bi##oot.com
- DNS ASK th###ver.com
- DNS ASK ma##.#heriver.com
- DNS ASK ea###link.net
- DNS ASK ma##.##anlwinsoft.org
- DNS ASK ui#.nnov.ru
- DNS ASK ma##.#ic.nnov.ru
- DNS ASK ch#t.ru
- DNS ASK ma##.narod.ru
- DNS ASK uk.##dernet.org
- DNS ASK ho#t
- DNS ASK na##d.ru
- DNS ASK ma##.chat.ru
- DNS ASK is###bler.net
- DNS ASK ma##.#stumbler.net
- DNS ASK th####insoft.org
- DNS ASK ma##.gmail.com
- DNS ASK ma#l.ru
- DNS ASK ma##.mail.ru
- DNS ASK gm##l.com
