Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- C:\Documents and Settings\windhelpNE32.exe
- <SYSTEM32>\systenini.exe
- C:\Documents and Settings\winsys32.exe
- C:\Documents and Settings\windhelp32.exe
- C:\Documents and Settings\windhelpit32au.exe
- <SYSTEM32>\systenini.exe (загружен из сети Интернет)
- C:\Documents and Settings\winsys32.exe (загружен из сети Интернет)
- C:\Documents and Settings\windhelpit32au.exe (загружен из сети Интернет)
- C:\Documents and Settings\windhelpNE32.exe (загружен из сети Интернет)
- C:\Documents and Settings\windhelp32.exe (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\setup_Rayban[1].gif
- C:\Documents and Settings\windhelpNE32.exe
- <SYSTEM32>\systenini.exe
- C:\Documents and Settings\winsys32.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\setup_process[1].gif
- C:\Documents and Settings\windhelp32.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\part4-cefbd[1].gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\part5-BNE[1].gif
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\part6-itau[1].gif
- C:\Documents and Settings\windhelpit32au.exe
Сетевая активность:
Подключается к:
- 'www.th##eam.com':80
- 'localhost':1035
TCP:
Запросы HTTP GET:
- www.th##eam.com/img/setup_Rayban.gif
- www.th##eam.com/img/setup_process.gif
- www.th##eam.com/img/part6-itau.gif
- www.th##eam.com/img/part4-cefbd.gif
- www.th##eam.com/img/part5-BNE.gif
UDP:
- DNS ASK www.th##eam.com
