Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Security.exe' = '%ALLUSERSPROFILE%\Application Data\maldonado\Security.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MSMSGS' = '"%PROGRAM_FILES%\Messenger\msmsgs.exe" /background'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'wlcomm.exe' = ''
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MsOffice.exe' = ''
Вредоносные функции:
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\MessengerService]
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\maldonado\Security.exe
Сетевая активность:
Подключается к:
- 'www.sa##-tec.de':80
- 'www.gi###uberon.fr':80
- 'www.vi######-independant.com':80
- 'www.de####sbykevin.com':80
- 'va####ons.oatley.us':80
- 'www.fa###rescue.org':80
TCP:
Запросы HTTP POST:
- www.sa##-tec.de/inc/htmln.php
- va####ons.oatley.us//modlogan/thumbx_.php
- www.vi######-independant.com//download/images/htmln.php
- www.gi###uberon.fr/resources/htmln.php
- va####ons.oatley.us//modlogan/thumbs_.php
- www.de####sbykevin.com/carlos/tadonot.php
- www.fa###rescue.org/albums/
- www.fa###rescue.org/albums/thumbs_.php
UDP:
- DNS ASK www.sa##-tec.de
- DNS ASK www.gi###uberon.fr
- DNS ASK www.vi######-independant.com
- DNS ASK www.de####sbykevin.com
- DNS ASK va####ons.oatley.us
- DNS ASK www.fa###rescue.org
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
