Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'krrww' = '"%ALLUSERSPROFILE%\application data\microsoft\tvxbk24\tvxbk24.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\tvxbk24.exe'
Запускает на исполнение:
- '%ProgramFiles%\Internet Explorer\IEXPLORE.EXE'
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\ccayeghv_%USERNAME%
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\cayeghv_%USERNAME%
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\cayeghv_tmp_%USERNAME%
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\t[2].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\t[1].htm
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\t[1].htm
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\tvxbk2.dll
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\tvxbk24.dll
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\tvxbk24.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\t[1].htm
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\cyoqy2
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\t[1].htm
Удаляет следующие файлы:
- %ALLUSERSPROFILE%\Application Data\Microsoft\tvxbk24\cayeghv_tmp_%USERNAME%
Сетевая активность:
Подключается к:
- 'du#2.in':80
- 'du#1.in':80
- 's0##.###elboxmanager.com':21
- '77.##1.134.75':21
- 'ft#.###einformation.com':21
- 'sp###ate.info':80
- 'www.ip####essworld.com':80
- 'www.ip###ress.com':80
- 'nt#0.in':80
- 'up###.com.ua':80
- 'ad###v.co.in':80
- 're####ver.com.ua':31666
TCP:
Запросы HTTP GET:
- http://www.ip####essworld.com/
- http://www.ip###ress.com/what_is_my_ip/
Запросы HTTP POST:
- http://du#1.in/t
- http://du#2.in/t
- http://sp###ate.info/t
- http://nt#0.in/5
- http://ad###v.co.in/t
- http://up###.com.ua/t
UDP:
- DNS ASK du#2.in
- DNS ASK du#1.in
- DNS ASK s0##.###elboxmanager.com
- DNS ASK ft#.###terscentral.com
- DNS ASK ft#.###einformation.com
- DNS ASK sp###ate.info
- DNS ASK up###.com.ua
- DNS ASK www.ip####essworld.com
- DNS ASK www.ip###ress.com
- DNS ASK nt#0.in
- DNS ASK ad###v.co.in
- DNS ASK re####ver.com.ua
- DNS ASK 25#.###.#55.255.in-addr.arpa
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'tvxbk24%USERNAME%2352' WindowName: 'tvxbk24%USERNAME%2352'
- ClassName: 'tvxbk24%USERNAME%2924' WindowName: 'tvxbk24%USERNAME%2924'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'tvxbk24%USERNAME%1464' WindowName: 'tvxbk24%USERNAME%1464'
- ClassName: 'tvxbk24%USERNAME%720' WindowName: 'tvxbk24%USERNAME%720'
- ClassName: 'tvxbk24%USERNAME%396' WindowName: 'tvxbk24%USERNAME%396'
- ClassName: 'tvxbk24%USERNAME%2328' WindowName: 'tvxbk24%USERNAME%2328'
- ClassName: 'tvxbk24%USERNAME%2304' WindowName: 'tvxbk24%USERNAME%2304'
- ClassName: 'tvxbk24%USERNAME%1508' WindowName: 'tvxbk24%USERNAME%1508'
