Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Sata.exe Nacional' = '%ALLUSERSPROFILE%\Application Data\Sata\Sata.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\Application Data\Sata\Sata.exe'
Запускает на исполнение:
- '%ProgramFiles%\Messenger\msmsgs.exe' -Embedding
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\X0ucxL.exe
- %TEMP%\KXJs7Y.exe
- %TEMP%\ufzQbD.exe
- %TEMP%\6RSU3F.exe
- %TEMP%\EyZrJm.exe
- %TEMP%\n+VFyH.exe
- %TEMP%\b+E9uq.exe
- %TEMP%\zvL32m.exe
- %TEMP%\Gd6jTx.exe
- %TEMP%\f8hw4z.exe
- %TEMP%\m+iyRp.exe
- %TEMP%\oqsjWg.exe
- %TEMP%\AevSYy.exe
- %TEMP%\Rs1k7W.exe
- %TEMP%\1m5+HV.exe
- %ALLUSERSPROFILE%\Application Data\Sata\Sata.exe
- %TEMP%\L1hCYs.exe
- %TEMP%\tFYqK5.exe
- %TEMP%\mhVfFn.exe
- %TEMP%\beDosm.exe
- %TEMP%\9iPoOV.exe
- %TEMP%\ejw2Lm.exe
- %TEMP%\sm1tnA.exe
Удаляет следующие файлы:
- %TEMP%\X0ucxL.exe
- %TEMP%\KXJs7Y.exe
- %TEMP%\ufzQbD.exe
- %TEMP%\6RSU3F.exe
- %TEMP%\EyZrJm.exe
- %TEMP%\n+VFyH.exe
- %TEMP%\b+E9uq.exe
- %TEMP%\zvL32m.exe
- %TEMP%\Gd6jTx.exe
- %TEMP%\f8hw4z.exe
- %TEMP%\m+iyRp.exe
- %TEMP%\Rs1k7W.exe
- %TEMP%\tFYqK5.exe
- %TEMP%\AevSYy.exe
- %TEMP%\L1hCYs.exe
- %TEMP%\1m5+HV.exe
- %TEMP%\ejw2Lm.exe
- %TEMP%\beDosm.exe
- %TEMP%\oqsjWg.exe
- %TEMP%\mhVfFn.exe
- %TEMP%\sm1tnA.exe
- %TEMP%\9iPoOV.exe
Сетевая активность:
Подключается к:
- 'www.ip####ndres.org.ar':80
- 'www.as####webdesign.de':80
- 'www.ca####chonet.com.ar':80
- '72.#9.71.7':80
- 'www.sc####t-reisen.de':80
- 'www.wa##aki.pl':80
- 'www.av###ano.com':80
- 'www.tr#####of-rathjen.de':80
TCP:
Запросы HTTP GET:
- http://72.#9.71.7/~pelsinta/fff/
- http://www.ca####chonet.com.ar/estilos/mobile3.exe.bak
- http://www.ca####chonet.com.ar/estilos/
- http://72.#9.71.7/~pelsinta/fff/mobile3.exe.bak
- http://www.as####webdesign.de/media/mobile3.exe.bak
- http://www.as####webdesign.de/media/
- http://www.ip####ndres.org.ar/new_img/mobile3.exe.bak
Запросы HTTP POST:
- http://www.tr#####of-rathjen.de/mxsn.php
- http://www.av###ano.com/video/mxsn.php
- http://www.wa##aki.pl/relacje/mxts.php
- http://www.sc####t-reisen.de/mxts.php
UDP:
- DNS ASK www.as####webdesign.de
- DNS ASK www.ip####ndres.org.ar
- DNS ASK www.ca####chonet.com.ar
- DNS ASK www.av###ano.com
- DNS ASK www.wa##aki.pl
- DNS ASK www.sc####t-reisen.de
- DNS ASK www.tr#####of-rathjen.de
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'NDDEAgnt' WindowName: 'NetDDE Agent'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Chrome_WidgetWin_0' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
