Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e0b540' = 'C:\Documents and Settings\%USERNAME%\Application Data\1e0b540\4cf7ad.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение:
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\explorer.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP14\RestorePointSize
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP14\rp.log
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\RestorePointSize
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\rp.log
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP13\RestorePointSize
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP12\rp.log
- C:\Documents and Settings\%USERNAME%\Application Data\1e0b540\4cf7ad.exe
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP13\rp.log
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP12\RestorePointSize
Сетевая активность:
Подключается к:
- 'ba###ce7.com':80
- 'bi###urgdorf.de':80
- 'ca#######erieb.altervista.org':80
- 'bl##.#saplin.com':80
- 'bl##.#akinsud.com':80
- 'bo####epornjpg.com':80
- 'cb###al.com.tr':80
- 'as###edge.ca':80
- 'be##ex.kz':80
- 'bn#.#acsons.com':80
- 'be####nescorts4u.eu':80
- 'ch#####esarmaillis.com':80
- 'bl##.##elphistudio.com':80
- 'bi####-insalyon.fr':80
- 'be####ervice-nn.com':80
- 'ca###being.com':80
- 'ca#######nequinecollege.co.uk':80
- 'be##li.dk':80
- 'ci####tels.com.ua':80
- 'be#####gesgeldkonten.de':80
- 'ci##box.se':80
- 'ca#####nglishcenter.com':80
- 'ba####trucks.net':80
- 'ca###earch.com':80
- 'bl##.#lenaphoto.com':80
- 'ca####at-teufel.com':80
- 'bl##.##steinertal.com':80
- 'bl####rreviews.info':80
- 'be#####parkescorts4u.eu':80
- 'ch####evices.com':80
- 'ba######m.altervista.org':80
- 'be####andblings.com':80
- 'bi####parties.co.uk':80
- 'ca##av.com':80
- 'bl##.#rucrowd.com':80
UDP:
- DNS ASK ba###ce7.com
- DNS ASK bi###urgdorf.de
- DNS ASK ca#######erieb.altervista.org
- DNS ASK bl##.#saplin.com
- DNS ASK bl##.#akinsud.com
- DNS ASK bo####epornjpg.com
- DNS ASK cb###al.com.tr
- DNS ASK as###edge.ca
- DNS ASK be##ex.kz
- DNS ASK bn#.#acsons.com
- DNS ASK be####nescorts4u.eu
- DNS ASK ch#####esarmaillis.com
- DNS ASK bl##.##elphistudio.com
- DNS ASK bi####-insalyon.fr
- DNS ASK be####ervice-nn.com
- DNS ASK ca###being.com
- DNS ASK ca#######nequinecollege.co.uk
- DNS ASK be##li.dk
- DNS ASK ci####tels.com.ua
- DNS ASK be#####gesgeldkonten.de
- DNS ASK ci##box.se
- DNS ASK ca#####nglishcenter.com
- DNS ASK ba####trucks.net
- DNS ASK ca###earch.com
- DNS ASK bl##.#lenaphoto.com
- DNS ASK ca####at-teufel.com
- DNS ASK bl##.##steinertal.com
- DNS ASK bl####rreviews.info
- DNS ASK be#####parkescorts4u.eu
- DNS ASK ch####evices.com
- DNS ASK ba######m.altervista.org
- DNS ASK be####andblings.com
- DNS ASK bi####parties.co.uk
- DNS ASK ca##av.com
- DNS ASK bl##.#rucrowd.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
