http://www.suspectfile.com/forum/viewtopic.php?t=1061

Dimensioni del file 28911 bytes.
Il malware è compresso/protetto con DotFix Nice Protect http://www.niceprotect.com/
Per via del packer usato, il malware ha caratteristiche antidebug e antitracking, per il primo metodo, usa l'api IsDebugPresent e CheckRemoteDebuggerPresent, oltre a vari trick
(CreateFileA \\.\NTICE) per rilevare la presenza di SoftIce, per il secondo metodo, si base sulle finestre attive, termina le finestre aventi questi 2 nomi:
Ollydbg
Filemon.

Il malware ha funzioni di downloader e dialer.
Per la prima funzione, si collega al sito 81.95.153.109 tre volte ed effettua le seguenti operazioni






----------------------------------------------------------------------------------
Nella root di windows, viene creato un file senza estensione composto da 10 numeri per esempio 2029602656, il file, contiene la scritta OK probabilmente salva il responso delle varie operazioni in quel file.

Per la seconda funzione, scarica vari file che poi eliminerà solo uno viene copiato nella root di windows (eoouaka.exe) il dialer, è compresso con Upx ed effettua le seguente chiamate tipiche di un dialer, se il dialer non trova un modem analogico o idsn termina la sua corsa


Vengono creare le seguenti chiavi:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
User Agent

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\
User Agent\Post Platform

HKEY_CURRENT_USER\Software\Microsoft\
Windows Script

HKEY_CURRENT_USER\Software\Microsoft\
Windows Script\Settings

Vengono aggiunti i seguenti valori
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent\Post Platform
"(Default)"
Type: REG_SZ
Data:

HKEY_CURRENT_USER\Software\Microsoft\Windows Script\Settings
"JITDebug"
Type: REG_DWORD
Data: 00, 00, 00, 00

Viene aggiunta una sezione [Internet Connection] con vari valori al file Rasphone.bpk