Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'F1aCsfh3jn0lyV3oCVbfFhU=' = '"%APPDATA%\Microsoft\Address Book\tourstart.exe"'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\cscript.exe
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\ctfmon.exe
большое количество пользовательских процессов.
Завершает или пытается завершить
следующие пользовательские процессы:
- safari.exe
- opera.exe
- chrome.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2500' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1609' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1406' = '00000003'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Address Book\tourstart.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- '9w######0xn12bj0b.nel.cc':443
- 'p3######q83gi27.www5.nel.cc':443
- 'xv######7aifxs.www5.rgk.cc':443
- 'bf######nn9ppnvyj.nel.cc':443
- 'n8######286zs.www5.sge.su':443
- 'wf####9htwc.rgk.cc':443
- 'sq###pt.sge.su':443
- '98#####hvoc1s1u.sge.su':443
- 'w5####xhx3.nel.cc':443
- 'c7#####sjv2uhot9.sge.su':443
- '2q####r4o.sge.su':443
- 'ws#####692dcvwz3.rgk.cc':443
- 'f1####glfomh.rgk.cc':443
- 'y0#####19fd3681.rgk.cc':443
- '6g####yje1er.sge.su':443
- 'ju######tm4r.www5.sge.su':443
UDP:
- DNS ASK sq###pt.sge.su
- DNS ASK 98#####hvoc1s1u.sge.su
- DNS ASK 9w######0xn12bj0b.nel.cc
- DNS ASK p3######q83gi27.www5.nel.cc
- DNS ASK n8######286zs.www5.sge.su
- DNS ASK h0#######8eul2hpm4.www5.rgk.cc
- DNS ASK f3#####oi32zp5.nel.cc
- DNS ASK wf####9htwc.rgk.cc
- DNS ASK 7n####b9r7z.rgk.cc
- DNS ASK bf######nn9ppnvyj.nel.cc
- DNS ASK w5####xhx3.nel.cc
- DNS ASK c7#####sjv2uhot9.sge.su
- DNS ASK 2q####r4o.sge.su
- DNS ASK ws#####692dcvwz3.rgk.cc
- DNS ASK 6g####yje1er.sge.su
- DNS ASK y0#####19fd3681.rgk.cc
- DNS ASK xv######7aifxs.www5.rgk.cc
- DNS ASK ju######tm4r.www5.sge.su
- DNS ASK f1####glfomh.rgk.cc
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
