Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Filtering Sharing Driver' = '%APPDATA%\yrpoofhfbqldqf\wifbaubpix.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\yrpoofhfbqldqf\ldumozzmgiq.exe' "%APPDATA%\yrpoofhfbqldqf\wifbaubpix.exe"
- '%APPDATA%\yrpoofhfbqldqf\wifbaubpix.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\yrpoofhfbqldqf\wifbaubpix.mb
- %APPDATA%\yrpoofhfbqldqf\ldumozzmgiq.exe
- %APPDATA%\yrpoofhfbqldqf\wifbaubpix.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\yrpoofhfbqldqf\wifbaubpix.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'do###etrain.net':80
- 'fe###wtrain.net':80
- 'fe####delight.net':80
- 'fe#####lectricity.net':80
- 'fe####borrow.net':80
- 'pr#####lectricity.net':80
- 'do#####lectricity.net':80
- 'pr####delight.net':80
- 'do####delight.net':80
- 'br####delight.net':80
- 're#####lectricity.net':80
- 'pr####eborrow.net':80
- 're####delight.net':80
- 'br#####lectricity.net':80
- 're####borrow.net':80
- 'br####borrow.net':80
- 're###ttrain.net':80
- 'br###ntrain.net':80
- 'st###borrow.net':80
- 'ev####gdelight.net':80
- 'st###train.net':80
- 'mi###borrow.net':80
- 'bu####ngdelight.net':80
- 'ev####gtrain.net':80
- 'bu####ngtrain.net':80
- 'ev#####electricity.net':80
- 'bu#####gelectricity.net':80
- 'pr####borrow.net':80
- 'do####borrow.net':80
- 'pr###ytrain.net':80
- 'do###rtrain.net':80
- 'mi####elight.net':80
- 'st#####ectricity.net':80
- 'mi###train.net':80
- 'st####elight.net':80
- 'mi#####ectricity.net':80
TCP:
Запросы HTTP GET:
- do###etrain.net/index.php?em#######################################
- fe###wtrain.net/index.php?em#######################################
- fe####delight.net/index.php?em#######################################
- fe#####lectricity.net/index.php?em#######################################
- fe####borrow.net/index.php?em#######################################
- pr#####lectricity.net/index.php?em#######################################
- do#####lectricity.net/index.php?em#######################################
- pr####delight.net/index.php?em#######################################
- do####delight.net/index.php?em#######################################
- br####delight.net/index.php?em#######################################
- re#####lectricity.net/index.php?em#######################################
- pr####eborrow.net/index.php?em#######################################
- re####delight.net/index.php?em#######################################
- br#####lectricity.net/index.php?em#######################################
- re####borrow.net/index.php?em#######################################
- br####borrow.net/index.php?em#######################################
- re###ttrain.net/index.php?em#######################################
- br###ntrain.net/index.php?em#######################################
- st###borrow.net/index.php?em#######################################
- ev####gdelight.net/index.php?em#######################################
- st###train.net/index.php?em#######################################
- mi###borrow.net/index.php?em#######################################
- bu####ngdelight.net/index.php?em#######################################
- ev####gtrain.net/index.php?em#######################################
- bu####ngtrain.net/index.php?em#######################################
- ev#####electricity.net/index.php?em#######################################
- bu#####gelectricity.net/index.php?em#######################################
- pr####borrow.net/index.php?em#######################################
- do####borrow.net/index.php?em#######################################
- pr###ytrain.net/index.php?em#######################################
- do###rtrain.net/index.php?em#######################################
- mi####elight.net/index.php?em#######################################
- st#####ectricity.net/index.php?em#######################################
- mi###train.net/index.php?em#######################################
- st####elight.net/index.php?em#######################################
- mi#####ectricity.net/index.php?em#######################################
UDP:
- DNS ASK fe#####lectricity.net
- DNS ASK do###etrain.net
- DNS ASK br####borrow.net
- DNS ASK fe####delight.net
- DNS ASK fe###wtrain.net
- DNS ASK do####delight.net
- DNS ASK pr#####lectricity.net
- DNS ASK fe####borrow.net
- DNS ASK pr####delight.net
- DNS ASK re####delight.net
- DNS ASK br####delight.net
- DNS ASK de####borrow.net
- DNS ASK pr####eborrow.net
- DNS ASK re#####lectricity.net
- DNS ASK br###ntrain.net
- DNS ASK re####borrow.net
- DNS ASK br#####lectricity.net
- DNS ASK re###ttrain.net
- DNS ASK do#####lectricity.net
- DNS ASK st###borrow.net
- DNS ASK ev####gdelight.net
- DNS ASK st###train.net
- DNS ASK mi###borrow.net
- DNS ASK bu####ngdelight.net
- DNS ASK ev####gtrain.net
- DNS ASK bu####ngtrain.net
- DNS ASK ev#####electricity.net
- DNS ASK bu#####gelectricity.net
- DNS ASK pr####borrow.net
- DNS ASK do####borrow.net
- DNS ASK pr###ytrain.net
- DNS ASK do###rtrain.net
- DNS ASK mi####elight.net
- DNS ASK st#####ectricity.net
- DNS ASK mi###train.net
- DNS ASK st####elight.net
- DNS ASK mi#####ectricity.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
