Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'winsys' = '<SYSTEM32>\winsys.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\winsys.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\winsys.exe
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
Удаляет следующие файлы:
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
Сетевая активность:
Подключается к:
- '10#.#03.99.128':8080
- '46.#.33.141':80
- '22#.#16.222.242':8001
- '79.##7.226.65':80
- '12#.#00.5.60':8080
- '22#.#.147.172':3128
- '20#.#19.7.136':3128
- '41.#9.211.5':8080
- '21#.#4.210.35':80
- '17#.#2.17.162':3128
- '10#.#0.205.107':80
- '18#.#07.108.42':3128
- '18#.#02.64.137':8080
- '85.##.159.84':8080
- '19#.#14.70.59':80
- '41.#7.21.67':8080
- '66.##7.238.14':443
- '12#.#72.250.177':3128
- '11#.#34.104.25':3128
- '20#.#0.97.148':80
- '20#.#1.234.152':3128
- '92.##1.163.186':80
- '80.##.160.54':80
- '80.##.161.202':80
- '21#.#7.101.11':80
- '20#.#19.7.136':80
- '80.##8.111.143':80
- '11#.#8.148.41':8080
- '10#.#04.132.153':8080
- '20#.#16.160.89':80
- '18#.#73.123.109':80
- '18#.#24.94.118':8080
- '20#.#5.143.104':80
- '19#.#49.191.189':8080
- 'se##top.ru':80
- '19#.#6.247.45':3128
- '11#.#6.149.78':8080
- '74.##5.115.102':80
- '81.##3.49.106':8080
- '19#.#0.158.195':8080
- '19#.#5.37.115':3128
- '20#.#42.82.6':8080
- '10#.#4.1.107':80
- '21#.#28.185.32':8080
- '17#.#38.204.1':8080
- '19#.136.7.5':80
- '20#.#41.149.48':80
- '84.##.108.74':8080
- '66.##7.238.14':80
- '21#.#58.128.80':80
- '20#.#23.213.30':80
TCP:
Запросы HTTP GET:
- 46.#.33.141http://scharfefrauen.net:80/
- 19#.136.7.5http://schwarzehure.com:80/
- 79.##7.226.65http://seksamateur.com:80/
- 20#.#19.7.136http://rus-sex.org:80/
- 21#.#4.210.35http://russianmares.com:80/
- 10#.#0.205.107http://sado.in:80/
- 80.##.161.202http://sex.mature-new.com:80/
- 80.##.160.54http://sex.new-indian.com:80/
- 19#.#14.70.59http://sexangel.info:80/
- 92.##1.163.186http://seksi-babka.com:80/
- 20#.#0.97.148http://senhorasencantadoras.net:80/
- 21#.#7.101.11http://sereiapro.net:80/
- 10#.#4.1.107http://rusgei.com:80/
- 80.##8.111.143http://putasdeslumbrante.com:80/
- 18#.#73.123.109http://razvratnajamama.net:80/
- 20#.#16.160.89http://razvratnie-staruchki.com:80/
- se##top.ru/
- 20#.#5.143.104http://prelest.org:80/
- 74.##5.115.102http://psihushka.info:80/
- 21#.#58.128.80http://resursgeev.com:80/
- 66.##7.238.14http://revistaporno.org:80/
- 20#.#5.143.104http://rusfuck.com:80/
- 20#.#41.149.48http://realshowhairy.com:80/
- 19#.136.7.5http://rechonchuda.net:80/
- 20#.#23.213.30http://redhotstuds.com:80/
UDP:
- DNS ASK se##top.ru
- '<IP-адрес в локальной сети>':1037
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
