Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] ' +' = '"<LS_APPDATA>\Google\Desktop\Install\{d60960dc-3f03-e519-b2ff-ed19ce15d744}\# \GoogleUpdate.exe" >'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\{d60960dc-3f03-e519-b2ff-ed19ce15d744}] 'ImagePath' = '"%PROGRAM_FILES%\Google\Desktop\Install\{d60960dc-3f03-e519-b2ff-ed19ce15d744}\# \GoogleUpdate.exe" <'
- [<HKLM>\SYSTEM\ControlSet001\Services\{d60960dc-3f03-e519-b2ff-ed19ce15d744}] 'Start' = '00000002'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Google\Desktop\Install\{d60960dc-3f03-e519-b2ff-ed19ce15d744}\#.\GoogleUpdate.exe
- %PROGRAM_FILES%\Google\Desktop\Install\{d60960dc-3f03-e519-b2ff-ed19ce15d744}\#.\@
- <LS_APPDATA>\Google\Desktop\Install\{d60960dc-3f03-e519-b2ff-ed19ce15d744}\#.\@
- <LS_APPDATA>\Google\Desktop\Install\{d60960dc-3f03-e519-b2ff-ed19ce15d744}\#.\GoogleUpdate.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'www.te##ze.com':80
TCP:
Запросы HTTP GET:
- www.te##ze.com/geoip
UDP:
- DNS ASK rz#�Qu
- DNS ASK rz#Ga�&
- DNS ASK rz#�� �
- DNS ASK rz#Q��\
- DNS ASK rz#Q�
- DNS ASK rz#rh
- DNS ASK www.te##ze.com
- DNS ASK rz#�u}Y
- DNS ASK rz#R �
- DNS ASK rz#��
- '92.##5.40.117':30765
- '17#.#2.23.54':26147
- '12#.#1.54.246':25854
- '17#.#3.51.83':20044
- '21#.#18.93.106':23928
- '91.##4.210.39':26163
- '10#.#00.155.218':22709
- '92.##2.130.48':30355
- '78.##8.205.61':29687
- '93.##0.220.61':17594
- '21#.#22.251.119':17552
- '17#.#17.162.68':20697
- '62.##6.99.78':18078
- '87.##.47.209':27850
- '92.##2.120.198':30272
- '10#.#84.97.30':19274
- '2.##5.176.8':18643
- '92.##.128.24':18667
- '21#.#49.186.202':30597
- '95.##.240.55':22407
- '94.##1.189.158':21581
- '13#.#.48.249':16799
- '94.##.253.141':16568
- '77.##2.174.9':17069
- '95.##.83.232':32038
- '10#.#67.14.158':22913
- '79.##2.20.31':30912
- '78.##.207.99':29209
- '19#.#60.224.130':29474
- '91.#43.6.72':28886
- '83.##2.111.156':30098
- '17#.#03.208.131':28728
- '78.##4.174.10':17122
- '77.##.128.180':29218
- '31.##.143.207':30714
- '78.##.151.204':31031
- '17#.#5.23.200':28696
- '21#.#7.162.214':26640
- '13#.#85.43.52':17386
- '94.##8.29.96':22048
- '5.###.180.96':24998
- '37.##5.156.228':21294
- '95.##3.238.226':32255
- '91.##4.153.158':20882
- '46.##2.149.181':24719
- '91.##9.128.208':28488
- '46.##8.131.37':27103
- '91.##2.80.16':19971
- '17#.#37.46.136':27680
- '19#.#62.202.248':27471
- '93.##7.11.84':19255
- '62.#6.3.102':17034
- '19#.#5.147.234':19637
- '19#.#61.40.7':31082
- '83.##9.48.36':16879
- '2.###.20.114':28505
- '17#.#11.104.202':18082
- '2.###.185.45':29792
- '21#.#7.215.71':18697
- '11#.#66.50.154':28089
- '42.##9.148.42':25046
- '95.##8.212.148':26651
- '17#.#22.178.13':21740
- '17#.#19.88.28':17487
- '5.###.232.107':27028
- '2.###.179.154':17543
- '80.##2.253.156':27004
- '5.##.69.7':20206
- '10#.#67.12.109':18861
- '11#.#.161.64':28421
- '37.##4.99.20':17003
- '5.###.213.124':21775
- '17#.#8.135.19':26584
- '17#.#21.223.235':19755
- '11#.#.48.185':19241
- '17#.#20.108.26':18433
- '91.#46.1.7':26442
- '17#.#84.219.83':23069
- '5.##.107.105':20384
- '91.##0.31.214':24380
- '10#.#11.84.137':16548
- '17#.#2.98.219':22171
- '93.##4.82.39':30822
- '37.##1.228.89':24664
- '46.##.228.49':18291
- '91.##9.136.240':16538
- '2.##4.173.2':31461
- '81.##2.225.254':32556
- '37.##5.197.164':21464
- '5.##.16.36':19234
- '19#.#.207.181':29014
- '18#.3.34.55':22861
- '95.#8.20.21':23139
- '17#.#50.161.115':16943
- '14#.#0.141.85':27253
- '95.##3.182.237':29217
- '17#.#10.14.128':22925
- '14#.#0.119.209':25566
- '5.###.45.167':31303
- '21#.#18.95.86':26642
- '17#.#1.8.114':26295
- '21#.#27.235.111':26426
- '21#.#18.64.38':23580
- '17#.#9.109.202':18534
- '19#.#30.134.215':26250
- '5.###.162.214':19472
- '2.###.189.119':28932
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
