Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\winsystem\acrobat.exe (загружен из сети Интернет)
- <SYSTEM32>\winsystem\reader_sl.scr (загружен из сети Интернет)
- <SYSTEM32>\winsystem\sustanon.exe (загружен из сети Интернет)
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FileMonClass' WindowName: ''
- ClassName: 'OLLYDBG' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\winsystem\acrobat.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\biglist[1].gif
- <SYSTEM32>\winsystem\kWab.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\SL6TKFAX\kWab[1].dll
- <SYSTEM32>\winsystem\sustanon.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\index[1].gif
- <SYSTEM32>\winsystem\reader_sl.scr
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\bigsms[1].gif
Сетевая активность:
Подключается к:
- 'mi#.###ence.cmu.ac.th':80
- '21#.#6.81.38':80
- 'localhost':1037
TCP:
Запросы HTTP GET:
- mi#.###ence.cmu.ac.th/picture/art/biglist.gif
- mi#.###ence.cmu.ac.th/picture/art/kWab.dll
- 21#.#6.81.38/img/index.gif
- mi#.###ence.cmu.ac.th/picture/art/bigsms.gif
UDP:
- DNS ASK mi#.###ence.cmu.ac.th
Другое:
Ищет следующие окна:
- ClassName: 'MS_WINHELP' WindowName: ''
