Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Base Resource Framework DHCP' = '%APPDATA%\mzjrpsx\dmbrrccnq.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\mzjrpsx\etsmtvifyre.exe' "%APPDATA%\mzjrpsx\dmbrrccnq.exe"
- '%APPDATA%\mzjrpsx\dmbrrccnq.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\mzjrpsx\dmbrrccnq.xgs
- %APPDATA%\mzjrpsx\etsmtvifyre.exe
- %APPDATA%\mzjrpsx\dmbrrccnq.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\mzjrpsx\dmbrrccnq.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'mo####ntboard.net':80
- 'ou####eboard.net':80
- 'mo####ntladder.net':80
- 'ou####eladder.net':80
- 'mo####ntenter.net':80
- 'ev#####character.net':80
- 'bu####ngladder.net':80
- 'ou####eenter.net':80
- 'bu#####gcharacter.net':80
- 'ou#####character.net':80
- 'st####thwritten.net':80
- 'st####ritten.net':80
- 'st####thshore.net':80
- 'st###shore.net':80
- 'st####thdollar.net':80
- 'st####ealize.net':80
- 'mo#####tcharacter.net':80
- 'st###dollar.net':80
- 'st####threalize.net':80
TCP:
Запросы HTTP GET:
- mo####ntboard.net/index.php?em############################################
- ou####eboard.net/index.php?em############################################
- mo####ntladder.net/index.php?em############################################
- ou####eladder.net/index.php?em############################################
- mo####ntenter.net/index.php?em############################################
- ev#####character.net/index.php?em############################################
- bu####ngladder.net/index.php?em############################################
- ou####eenter.net/index.php?em############################################
- bu#####gcharacter.net/index.php?em############################################
- ou#####character.net/index.php?em############################################
- st####thwritten.net/index.php?em############################################
- st####ritten.net/index.php?em############################################
- st####thshore.net/index.php?em############################################
- st###shore.net/index.php?em############################################
- st####thdollar.net/index.php?em############################################
- st####ealize.net/index.php?em############################################
- mo#####tcharacter.net/index.php?em############################################
- st###dollar.net/index.php?em############################################
- st####threalize.net/index.php?em############################################
UDP:
- DNS ASK ou####eboard.net
- DNS ASK mo####ntenter.net
- DNS ASK mo####ntboard.net
- DNS ASK mo####ntladder.net
- DNS ASK ou####eladder.net
- DNS ASK bu####ngladder.net
- DNS ASK ev####gladder.net
- DNS ASK ev#####character.net
- DNS ASK ou####eenter.net
- DNS ASK bu#####gcharacter.net
- DNS ASK st####ritten.net
- DNS ASK st####thdollar.net
- DNS ASK st####thwritten.net
- DNS ASK st####thshore.net
- DNS ASK st###shore.net
- DNS ASK mo#####tcharacter.net
- DNS ASK ou#####character.net
- DNS ASK st####ealize.net
- DNS ASK st###dollar.net
- DNS ASK st####threalize.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
