Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Taskman' = '%HOMEPATH%\aegvvp.exe'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\aegvvp.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\aegvvp.exe
Сетевая активность:
UDP:
- DNS ASK mu###.###tal-protection.net.ru
- DNS ASK sl###.##fehousenumber.com
- 'mu###.###tal-protection.net.ru':41801
- 'sl###.##fehousenumber.com':41801
Другое:
Ищет следующие окна:
- ClassName: 'Bhodsvk Xj, Bttab' WindowName: 'Tgmanwr, Addkvkj Bs'
- ClassName: 'Ihkaiq V' WindowName: 'Ogdjccxrr Enaasgd, Vldwfat'
- ClassName: 'Vldwfat, Ihkaiq V' WindowName: 'Ogdjccxrr Enaasgd'
- ClassName: 'Bttab' WindowName: 'Tgmanwr, Addkvkj Bs, Bhodsvk Xj'
- ClassName: 'Wouecwdjjuo Jvdruxl' WindowName: 'Qqdabtmuj, Wkmt. Hm'
- ClassName: 'Ylesekbfe Niqcc Q' WindowName: 'Dhvrnnqpn, Oiyiu'
- ClassName: 'Hjyvxp Jkdyq Lmpg' WindowName: 'Ufbhbgtb, Slkvwham'
- ClassName: 'Sk. D' WindowName: 'Ndnjnn, Ki, Wuv, Vhpynnnwdf'
- ClassName: 'Aclbe, Hylirf Ucbwa' WindowName: 'Uyope Kjwpfj Xcu'
- ClassName: 'Gjvegsdp Psncqx' WindowName: 'Hfvoyomt Pfolu Pq'
- ClassName: 'Eigy. St. Osgexwi' WindowName: 'Eddoyh Oqi. Ubklbel'
- ClassName: 'Hylirf Ucbwa' WindowName: 'Uyope Kjwpfj Xcu, Aclbe'
- ClassName: 'Vhpynnnwdf, Sk. D' WindowName: 'Ndnjnn, Ki, Wuv'
- ClassName: 'Jlejtb Qfq Db. Smtm' WindowName: 'Aufdgf Wdt Irlfs'
- ClassName: 'Ttpqauwf Gruqpr' WindowName: 'Bdkskcn Xtxrkf Ots'
