Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'c1e6b320120c0a21942c193de5946559' = '"%TEMP%\internet download manager.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'c1e6b320120c0a21942c193de5946559' = '"%TEMP%\internet download manager.exe" ..'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\c1e6b320120c0a21942c193de5946559.exe
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\internet download manager.exe' = '%TEMP%\internet download manager.exe:*:Enabled:internet download manager.exe'
Создает и запускает на исполнение:
- '%TEMP%\internet download manager.exe'
- '<SYSTEM32>\Server.exe'
- '<SYSTEM32>\perlo.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%TEMP%\internet download manager.exe" "internet download manager.exe" ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\0\photo\IMG_20140120_151418.jpg
- %TEMP%\0\photo\IMG_20140120_151319.jpg
- %TEMP%\0\photo\IMG_20140120_151310.jpg
- %TEMP%\0\photo\IMG_20140120_151510.jpg
- %TEMP%\0\photo\Photo00171.jpg
- %TEMP%\0\photo\Photo0017.jpg
- %TEMP%\0\photo\IMG_20140429_004951.jpg
- %TEMP%\0\photo\1009749_543209465738281_941026661_n.jpg
- %TEMP%\0\res\004 - John Legend - All Of Me - John Legend - 1393781893.mp3
- %TEMP%\0\thumbs\thumb_SAM_6346.JPG
- %TEMP%\0\photo\attacGmhment.php.jpg
- %TEMP%\0\photo\IMG_20131217_085645.jpg
- %TEMP%\0\photo\IMG_20131217_085547.jpg
- %TEMP%\0\photo\IMG02203-20131104-0958.jpg
- %TEMP%\0\photo\Photo0018.jpg
- %TEMP%\0\photo\SAM_6342.JPG
- %TEMP%\0\photo\SAM_6341.JPG
- %TEMP%\0\photo\SAM_6336.JPG
- %TEMP%\0\photo\SAM_6344.JPG
- %TEMP%\internet download manager.exe
- %TEMP%\0\photo\SAM_6346.JPG
- %TEMP%\0\photo\SAM_6345.JPG
- %TEMP%\0\photo\received_m_mid_1395615022174_6c39633615b2c7d959_0.jpeg
- %TEMP%\0\photo\received_m_mid_1395597051504_06e4e20a1e9cfdb721_0.jpeg
- %TEMP%\0\photo\Photo0021.jpg
- %TEMP%\0\photo\RFP-114-03-02-00-45-48.jpg
- %TEMP%\0\photo\SAM_5510.JPG
- %TEMP%\0\photo\SAM_5508.JPG
- %TEMP%\0\photo\SAM_5506.JPG
- %TEMP%\0\thumbs\thumb_IMG_20131217_085645.jpg
- %TEMP%\0\thumbs\thumb_IMG_20131217_085547.jpg
- %TEMP%\0\thumbs\thumb_IMG02203-20131104-0958.jpg
- %TEMP%\0\thumbs\thumb_IMG_20140120_151310.jpg
- %TEMP%\0\thumbs\thumb_IMG_20140120_151510.jpg
- %TEMP%\0\thumbs\thumb_IMG_20140120_151418.jpg
- %TEMP%\0\thumbs\thumb_IMG_20140120_151319.jpg
- %TEMP%\0\14.html
- <SYSTEM32>\Server.exe
- <SYSTEM32>\perlo.exe
- %TEMP%\0\14.swf
- %TEMP%\0\thumbs\thumb_attacGmhment.php.jpg
- %TEMP%\0\thumbs\thumb_1009749_543209465738281_941026661_n.jpg
- %TEMP%\0\14.xml
- %TEMP%\0\thumbs\thumb_IMG_20140429_004951.jpg
- %TEMP%\0\thumbs\thumb_SAM_6336.JPG
- %TEMP%\0\thumbs\thumb_SAM_5510.JPG
- %TEMP%\0\thumbs\thumb_SAM_5508.JPG
- %TEMP%\0\thumbs\thumb_SAM_6341.JPG
- %TEMP%\0\thumbs\thumb_SAM_6345.JPG
- %TEMP%\0\thumbs\thumb_SAM_6344.JPG
- %TEMP%\0\thumbs\thumb_SAM_6342.JPG
- %TEMP%\0\thumbs\thumb_Photo0021.jpg
- %TEMP%\0\thumbs\thumb_Photo0018.jpg
- %TEMP%\0\thumbs\thumb_Photo0017.jpg
- %TEMP%\0\thumbs\thumb_received_m_mid_1395597051504_06e4e20a1e9cfdb721_0.jpeg
- %TEMP%\0\thumbs\thumb_SAM_5506.JPG
- %TEMP%\0\thumbs\thumb_RFP-114-03-02-00-45-48.jpg
- %TEMP%\0\thumbs\thumb_received_m_mid_1395615022174_6c39633615b2c7d959_0.jpeg
Сетевая активность:
Подключается к:
- 'al####no00.ddns.net':5552
UDP:
- DNS ASK al####no00.ddns.net
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
