Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command] '' = '"<LS_APPDATA>\puv.exe" -a "%PROGRAM_FILES%\Internet Explorer\iexplore.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '<SYSTEM32>\ctfmon.exe'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DisableNotifications' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- <LS_APPDATA>\puv.exe -gav <Полный путь к вирусу>
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
- opera.exe
- iexplore.exe
- firefox.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\df3u287f7ilxh603wfb83rk17jk8254433f3bm167387
- %HOMEPATH%\Templates\df3u287f7ilxh603wfb83rk17jk8254433f3bm167387
- %ALLUSERSPROFILE%\Application Data\df3u287f7ilxh603wfb83rk17jk8254433f3bm167387
- <LS_APPDATA>\puv.exe
- <LS_APPDATA>\df3u287f7ilxh603wfb83rk17jk8254433f3bm167387
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ba###ejecak.com':80
- 'de###ykato.com':80
- 'va###ofajo.com':80
- 'ny####hoseran.com':80
- 'bi####qyxymyqi.com':80
- 'le####vudadyj.com':80
- 'du###ofejox.com':80
- 'me####warynode.com':80
- 'zo###alor.com':80
- 'ja###egekij.com':80
- 'ze###uhib.com':80
- 'zy###oqovy.com':80
- 'wo####walonez.com':80
- 'wo###evob.com':80
- 'wi###aqite.com':80
- 'cu###opipi.com':80
- 'ge###epoj.com':80
- 'ry###ytokew.com':80
- 'fu###esaw.com':80
- 'sa###izyriw.com':80
- 'ju####bocuto.com':80
- 'ji####vebapof.com':80
- 'qa####quguca.com':80
- 'ju###oruvut.com':80
- 'qo####hobuci.com':80
- 're####nigiver.com':80
- 'po###ybop.com':80
- 'ga###ikeve.com':80
- 'ti###etudo.com':80
- 'qu####cilogoti.com':80
UDP:
- DNS ASK de###ykato.com
- DNS ASK va###ofajo.com
- DNS ASK me####warynode.com
- DNS ASK ba###ejecak.com
- DNS ASK le####vudadyj.com
- DNS ASK du###ofejox.com
- DNS ASK ny####hoseran.com
- DNS ASK wo####walonez.com
- DNS ASK ja###egekij.com
- DNS ASK ze###uhib.com
- DNS ASK po####cywihira.com
- DNS ASK zo###alor.com
- DNS ASK wo###evob.com
- DNS ASK wi###aqite.com
- DNS ASK zy###oqovy.com
- DNS ASK bi####qyxymyqi.com
- DNS ASK cu###opipi.com
- DNS ASK ge###epoj.com
- DNS ASK ry###ytokew.com
- DNS ASK fu###esaw.com
- DNS ASK sa###izyriw.com
- DNS ASK ju####bocuto.com
- DNS ASK ji####vebapof.com
- DNS ASK ga###ikeve.com
- DNS ASK ju###oruvut.com
- DNS ASK qo####hobuci.com
- DNS ASK re####nigiver.com
- DNS ASK po###ybop.com
- DNS ASK qa####quguca.com
- DNS ASK ti###etudo.com
- DNS ASK qu####cilogoti.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'msascui_class' WindowName: ''
