Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\Help\omdsn.exe'
- '<SYSTEM32>\auth.exe'
- '%WINDIR%\Help\osqm.exe'
- '%WINDIR%\Help\updcro.exe'
- '%WINDIR%\Help\omdsn.exe' (загружен из сети Интернет)
- '<SYSTEM32>\auth.exe' (загружен из сети Интернет)
- '%WINDIR%\Help\updcro.exe' (загружен из сети Интернет)
- '%WINDIR%\Help\osqm.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '%PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE' http://ms#####herbbb9.t35.com
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Help\osqm.exe
- %WINDIR%\Help\updcro.exe
- %WINDIR%\Help\omdsn.exe
- <SYSTEM32>\auth.exe
- %WINDIR%\Help\cnxo.txt
- %WINDIR%\Config\Uhosts.txt
- %WINDIR%\Help\knlbv.txt
Удаляет следующие файлы:
- %TEMP%\~DF5323.tmp
Сетевая активность:
Подключается к:
- 'ms#####herbbb9.t35.com':80
- '74.##5.232.51':80
- 'mo######0093.freehost10.com':80
- 'localhost':1036
- 'localhost':1038
- 'ma##.ubbi.com':80
TCP:
Запросы HTTP GET:
- mo######0093.freehost10.com/Octagon03.pdf
- mo######0093.freehost10.com/updcro09.pdf
- mo######0093.freehost10.com/msn091.pdf
- mo######0093.freehost10.com/msn09.pdf
- ms#####herbbb9.t35.com/
- ma##.ubbi.com/vdRfc2att/rfc2attach20.dll?f=##########################################################################################################################################################################
- mo######0093.freehost10.com/Uhosts.txt
- 74.##5.232.51/site/modulos20091/Home/knlbv.txt?at############
UDP:
- DNS ASK si###.google.com
- DNS ASK mo######0093.freehost10.com
- DNS ASK ma##.ubbi.com
- DNS ASK ms#####herbbb9.t35.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
