Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '%APPDATA%\SBtfsd\dfdmie.exe'
Вредоносные функции:
Запускает на исполнение:
- '%APPDATA%\svhost.exe'
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v Load /t REG_SZ /d "%APPDATA%\SBtfsd\dfdmie.exe" /f
- '<SYSTEM32>\cmd.exe'
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\IMVU\username]
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\CRNJEUFU_9_6_3_52_1.png
- %APPDATA%\svhost.exe
- %APPDATA%\SBtfsd\dfdmie.exe
Сетевая активность:
Подключается к:
- 'www.ni####man.org.in':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- http://www.ni####man.org.in/kb/minier-22aug-22sept/post.php?ty##########################################################
- http://11#.#11.111.1/wpad.dat via wp#d
UDP:
- DNS ASK www.ni####man.org.in
- DNS ASK wp#d
