Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SNMP Machine User-mode Certificate Card' = '%APPDATA%\wpvltvbfrvxjsb\gktuclmo.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\wpvltvbfrvxjsb\vgrkfhe.exe' "%APPDATA%\wpvltvbfrvxjsb\gktuclmo.exe"
- '%APPDATA%\wpvltvbfrvxjsb\gktuclmo.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\wpvltvbfrvxjsb\gktuclmo.hqg
- %APPDATA%\wpvltvbfrvxjsb\vgrkfhe.exe
- %APPDATA%\wpvltvbfrvxjsb\gktuclmo.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\wpvltvbfrvxjsb\gktuclmo.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'th###hfound.net':80
- 'fi###efound.net':80
- 'fi####spring.net':80
- 'fi####success.net':80
- 'th####spring.net':80
- 'wh####rsuccess.net':80
- 'ri###spring.net':80
- 'ri####uccess.net':80
- 'ri###banker.net':80
- 'wh####rbanker.net':80
- 'ci####ttespring.net':80
- 'pi####espring.net':80
- 'pi####esuccess.net':80
- 'pi####ebanker.net':80
- 'ci#####tesuccess.net':80
- 'fi####banker.net':80
- 'th####success.net':80
- 'th####banker.net':80
- 'ci####ttefound.net':80
- 'pi####efound.net':80
- 'wh####rspring.net':80
- 'pe####success.net':80
- 'ma####espring.net':80
- 'ma####esuccess.net':80
- 'ma####ebanker.net':80
- 'pe####banker.net':80
- 'be####ebanker.net':80
- 'ex####banker.net':80
- 'pe###nfound.net':80
- 'pe####spring.net':80
- 'ma####efound.net':80
- 'su####banker.net':80
- 'fo####nsuccess.net':80
- 'fo####nbanker.net':80
- 'ri###found.net':80
- 'wh####rfound.net':80
- 'fo####nfound.net':80
- 'su###nfound.net':80
- 'su####spring.net':80
- 'su####success.net':80
- 'fo####nspring.net':80
TCP:
Запросы HTTP GET:
- th###hfound.net/index.php?em#################################################################
- fi###efound.net/index.php?em#################################################################
- fi####spring.net/index.php?em#################################################################
- fi####success.net/index.php?em#################################################################
- th####spring.net/index.php?em#################################################################
- wh####rsuccess.net/index.php?em#################################################################
- ri###spring.net/index.php?em#################################################################
- ri####uccess.net/index.php?em#################################################################
- ri###banker.net/index.php?em#################################################################
- wh####rbanker.net/index.php?em#################################################################
- ci####ttespring.net/index.php?em#################################################################
- pi####espring.net/index.php?em#################################################################
- pi####esuccess.net/index.php?em#################################################################
- pi####ebanker.net/index.php?em#################################################################
- ci#####tesuccess.net/index.php?em#################################################################
- fi####banker.net/index.php?em#################################################################
- th####success.net/index.php?em#################################################################
- th####banker.net/index.php?em#################################################################
- ci####ttefound.net/index.php?em#################################################################
- pi####efound.net/index.php?em#################################################################
- wh####rspring.net/index.php?em#################################################################
- pe####success.net/index.php?em#################################################################
- ma####espring.net/index.php?em#################################################################
- ma####esuccess.net/index.php?em#################################################################
- ma####ebanker.net/index.php?em#################################################################
- pe####banker.net/index.php?em#################################################################
- be####ebanker.net/index.php?em#################################################################
- ex####banker.net/index.php?em#################################################################
- pe###nfound.net/index.php?em#################################################################
- pe####spring.net/index.php?em#################################################################
- ma####efound.net/index.php?em#################################################################
- su####banker.net/index.php?em#################################################################
- fo####nsuccess.net/index.php?em#################################################################
- fo####nbanker.net/index.php?em#################################################################
- ri###found.net/index.php?em#################################################################
- wh####rfound.net/index.php?em#################################################################
- fo####nfound.net/index.php?em#################################################################
- su###nfound.net/index.php?em#################################################################
- su####spring.net/index.php?em#################################################################
- su####success.net/index.php?em#################################################################
- fo####nspring.net/index.php?em#################################################################
UDP:
- DNS ASK th###hfound.net
- DNS ASK fi###efound.net
- DNS ASK fi####spring.net
- DNS ASK fi####success.net
- DNS ASK th####spring.net
- DNS ASK wh####rsuccess.net
- DNS ASK ri###spring.net
- DNS ASK ri####uccess.net
- DNS ASK ri###banker.net
- DNS ASK wh####rbanker.net
- DNS ASK ci####ttespring.net
- DNS ASK pi####espring.net
- DNS ASK pi####esuccess.net
- DNS ASK pi####ebanker.net
- DNS ASK ci#####tesuccess.net
- DNS ASK fi####banker.net
- DNS ASK th####success.net
- DNS ASK th####banker.net
- DNS ASK ci####ttefound.net
- DNS ASK pi####efound.net
- DNS ASK wh####rspring.net
- DNS ASK pe####success.net
- DNS ASK ma####espring.net
- DNS ASK ma####esuccess.net
- DNS ASK ma####ebanker.net
- DNS ASK pe####banker.net
- DNS ASK be####ebanker.net
- DNS ASK ex####banker.net
- DNS ASK pe###nfound.net
- DNS ASK pe####spring.net
- DNS ASK ma####efound.net
- DNS ASK su####banker.net
- DNS ASK fo####nsuccess.net
- DNS ASK fo####nbanker.net
- DNS ASK ri###found.net
- DNS ASK wh####rfound.net
- DNS ASK fo####nfound.net
- DNS ASK su###nfound.net
- DNS ASK su####spring.net
- DNS ASK su####success.net
- DNS ASK fo####nspring.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
