Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Tunneling Net.Tcp Encryption' = '%APPDATA%\nddunhhy\avxzgbwpg.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\nddunhhy\mjpesfsicoab.exe' "%APPDATA%\nddunhhy\avxzgbwpg.exe"
- '%APPDATA%\nddunhhy\avxzgbwpg.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\nddunhhy\avxzgbwpg.eo
- %APPDATA%\nddunhhy\mjpesfsicoab.exe
- %APPDATA%\nddunhhy\avxzgbwpg.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\nddunhhy\mjpesfsicoab.exe
- %APPDATA%\nddunhhy\avxzgbwpg.exe
Сетевая активность:
Подключается к:
- 'fl####ifferent.net':80
- 'br###letter.net':80
- 'fl###letter.net':80
- 'br####ifferent.net':80
- 'qu###beside.net':80
- 'se####surprise.net':80
- 'qu####urprise.net':80
- 'ga####different.net':80
- 'be####different.net':80
- 'ga####letter.net':80
- 'fl####urprise.net':80
- 'br###beside.net':80
- 'fl###beside.net':80
- 'br####urprise.net':80
- 'se####beside.net':80
- 'pr####tcourse.net':80
- 'th###course.net':80
- 'pr####tpaint.net':80
- 'th###women.net':80
- 'co####eclean.net':80
- 'ch###clean.net':80
- 'pr####twomen.net':80
- 'qu####ifferent.net':80
- 'se####letter.net':80
- 'qu###letter.net':80
- 'se####different.net':80
- 'th###paint.net':80
- 'pr####tclean.net':80
- 'th###clean.net':80
- 'el#####csurprise.net':80
- 're####surprise.net':80
- 'ca#####different.net':80
- 're####beside.net':80
- 'el####icletter.net':80
- 're####letter.net':80
- 'el####icbeside.net':80
- 'la###beside.net':80
- 'ca####nsurprise.net':80
- 'la####urprise.net':80
- 'ca####nbeside.net':80
- 'la####ifferent.net':80
- 'ca####nletter.net':80
- 'la###letter.net':80
- 're####different.net':80
- 'be####surprise.net':80
- 'tr####ifferent.net':80
- 'st####different.net':80
- 'ga####surprise.net':80
- 'be####letter.net':80
- 'ga####beside.net':80
- 'be####beside.net':80
- 'tr####urprise.net':80
- 'st####surprise.net':80
- 'el#####cdifferent.net':80
- 'st####beside.net':80
- 'tr###letter.net':80
- 'st####letter.net':80
- 'tr###beside.net':80
TCP:
Запросы HTTP GET:
- fl####ifferent.net/forum/search.php?em#######################################
- br###letter.net/forum/search.php?em#######################################
- fl###letter.net/forum/search.php?em#######################################
- br####ifferent.net/forum/search.php?em#######################################
- qu###beside.net/forum/search.php?em#######################################
- se####surprise.net/forum/search.php?em#######################################
- qu####urprise.net/forum/search.php?em#######################################
- ga####different.net/forum/search.php?em#######################################
- be####different.net/forum/search.php?em#######################################
- ga####letter.net/forum/search.php?em#######################################
- fl####urprise.net/forum/search.php?em#######################################
- br###beside.net/forum/search.php?em#######################################
- fl###beside.net/forum/search.php?em#######################################
- br####urprise.net/forum/search.php?em#######################################
- se####beside.net/forum/search.php?em#######################################
- pr####tcourse.net/forum/search.php?em#######################################
- th###course.net/forum/search.php?em#######################################
- pr####tpaint.net/forum/search.php?em#######################################
- th###women.net/forum/search.php?em#######################################
- co####eclean.net/forum/search.php?em#######################################
- ch###clean.net/forum/search.php?em#######################################
- pr####twomen.net/forum/search.php?em#######################################
- qu####ifferent.net/forum/search.php?em#######################################
- se####letter.net/forum/search.php?em#######################################
- qu###letter.net/forum/search.php?em#######################################
- se####different.net/forum/search.php?em#######################################
- th###paint.net/forum/search.php?em#######################################
- pr####tclean.net/forum/search.php?em#######################################
- th###clean.net/forum/search.php?em#######################################
- el#####csurprise.net/forum/search.php?em#######################################
- re####surprise.net/forum/search.php?em#######################################
- ca#####different.net/forum/search.php?em#######################################
- re####beside.net/forum/search.php?em#######################################
- el####icletter.net/forum/search.php?em#######################################
- re####letter.net/forum/search.php?em#######################################
- el####icbeside.net/forum/search.php?em#######################################
- la###beside.net/forum/search.php?em#######################################
- ca####nsurprise.net/forum/search.php?em#######################################
- la####urprise.net/forum/search.php?em#######################################
- ca####nbeside.net/forum/search.php?em#######################################
- la####ifferent.net/forum/search.php?em#######################################
- ca####nletter.net/forum/search.php?em#######################################
- la###letter.net/forum/search.php?em#######################################
- re####different.net/forum/search.php?em#######################################
- be####surprise.net/forum/search.php?em#######################################
- tr####ifferent.net/forum/search.php?em#######################################
- st####different.net/forum/search.php?em#######################################
- ga####surprise.net/forum/search.php?em#######################################
- be####letter.net/forum/search.php?em#######################################
- ga####beside.net/forum/search.php?em#######################################
- be####beside.net/forum/search.php?em#######################################
- tr####urprise.net/forum/search.php?em#######################################
- st####surprise.net/forum/search.php?em#######################################
- el#####cdifferent.net/forum/search.php?em#######################################
- st####beside.net/forum/search.php?em#######################################
- tr###letter.net/forum/search.php?em#######################################
- st####letter.net/forum/search.php?em#######################################
- tr###beside.net/forum/search.php?em#######################################
UDP:
- DNS ASK fl####ifferent.net
- DNS ASK br###letter.net
- DNS ASK fl###letter.net
- DNS ASK br####ifferent.net
- DNS ASK qu###beside.net
- DNS ASK se####surprise.net
- DNS ASK qu####urprise.net
- DNS ASK ga####different.net
- DNS ASK be####different.net
- DNS ASK ga####letter.net
- DNS ASK fl####urprise.net
- DNS ASK br###beside.net
- DNS ASK fl###beside.net
- DNS ASK br####urprise.net
- DNS ASK se####beside.net
- DNS ASK pr####tcourse.net
- DNS ASK th###course.net
- DNS ASK pr####tpaint.net
- DNS ASK th###women.net
- DNS ASK co####eclean.net
- DNS ASK ch###clean.net
- DNS ASK pr####twomen.net
- DNS ASK qu####ifferent.net
- DNS ASK se####letter.net
- DNS ASK qu###letter.net
- DNS ASK se####different.net
- DNS ASK th###paint.net
- DNS ASK pr####tclean.net
- DNS ASK th###clean.net
- DNS ASK el#####csurprise.net
- DNS ASK re####surprise.net
- DNS ASK ca#####different.net
- DNS ASK re####beside.net
- DNS ASK el####icletter.net
- DNS ASK re####letter.net
- DNS ASK el####icbeside.net
- DNS ASK la###beside.net
- DNS ASK ca####nsurprise.net
- DNS ASK la####urprise.net
- DNS ASK ca####nbeside.net
- DNS ASK la####ifferent.net
- DNS ASK ca####nletter.net
- DNS ASK la###letter.net
- DNS ASK re####different.net
- DNS ASK be####surprise.net
- DNS ASK tr####ifferent.net
- DNS ASK st####different.net
- DNS ASK ga####surprise.net
- DNS ASK be####letter.net
- DNS ASK ga####beside.net
- DNS ASK be####beside.net
- DNS ASK tr####urprise.net
- DNS ASK st####surprise.net
- DNS ASK el#####cdifferent.net
- DNS ASK st####beside.net
- DNS ASK tr###letter.net
- DNS ASK st####letter.net
- DNS ASK tr###beside.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
