Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = '%APPDATA%\dbu32.ocx,explorer.exe'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\dmmt.hot
- %APPDATA%\dbu32.ocx
- %ALLUSERSPROFILE%\Application Data\shqm\xpnet.rud
- %WINDIR%\ckptbc.vvm
Перемещает следующие файлы:
- <Полный путь к файлу> в %TEMP%\1.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'yi###yhhw.org':80
- 'ea###tvm.org':80
- 'qy##ubi.biz':80
- 'jt###yunnvz.ru':80
- 'gf###qkfdg.org':80
- 'qv##oz.com':80
- 'by###vmgc.info':80
- 'cs###bayid.biz':80
- 'er##ud.ru':80
- 'de###vbvhar.org':80
- 'wz##ok.ru':80
- 'cz###oaly.biz':80
- 'ma###yp.info':80
- 'zw##chn.com':80
- 'ec##zkr.net':80
- 'zw##cz.net':80
- 'dg###mzl.net':80
- 'al##stat.ru':80
- 'qo###aeybr.net':80
- 'cn##pg.biz':80
- 'qr####cglic.info':80
- 'gi###cym.org':80
- 'nn##wr.net':80
- 'cd###mvbnt.net':80
- 'tw###mlcru.com':80
- 'cj##nyg.biz':80
- 'hx####euelj.info':80
TCP:
Запросы HTTP POST:
- http://ea###tvm.org/ppfEr4?fI########################################################################
- http://yi###yhhw.org/LqMIsl?sN######################
UDP:
- DNS ASK yi###yhhw.org
- DNS ASK ea###tvm.org
- DNS ASK qy##ubi.biz
- DNS ASK qv##oz.com
- DNS ASK zw##chn.com
- DNS ASK jt###yunnvz.ru
- DNS ASK gf###qkfdg.org
- DNS ASK cs###bayid.biz
- DNS ASK er##ud.ru
- DNS ASK de###vbvhar.org
- DNS ASK ma###yp.info
- DNS ASK by###vmgc.info
- DNS ASK wz##ok.ru
- DNS ASK cz###oaly.biz
- DNS ASK ec##zkr.net
- DNS ASK zw##cz.net
- DNS ASK dg###mzl.net
- DNS ASK cn##pg.biz
- DNS ASK microsoft.com
- DNS ASK al##stat.ru
- DNS ASK qo###aeybr.net
- DNS ASK gi###cym.org
- DNS ASK nn##wr.net
- DNS ASK cd###mvbnt.net
- DNS ASK hx####euelj.info
- DNS ASK qr####cglic.info
- DNS ASK tw###mlcru.com
- DNS ASK cj##nyg.biz
