Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Reports WebClient Redirector' = '%APPDATA%\wmibhpm\mlejdisu.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\wmibhpm\ebxlqthp.exe' "%APPDATA%\wmibhpm\mlejdisu.exe"
- '%APPDATA%\wmibhpm\mlejdisu.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\wmibhpm\mlejdisu.oxi
- %APPDATA%\wmibhpm\ebxlqthp.exe
- %APPDATA%\wmibhpm\mlejdisu.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\wmibhpm\mlejdisu.exe
Сетевая активность:
Подключается к:
- 'ei###rbroad.net':80
- 'en#####understand.net':80
- 'ei####behind.net':80
- 'en####hbroad.net':80
- 'ch####enbutter.net':80
- 'fa####behind.net':80
- 'ei#####nderstand.net':80
- 'fa####butter.net':80
- 'ex####fifteen.net':80
- 'be####edried.net':80
- 'ex###tangry.net':80
- 'be####efifteen.net':80
- 'ei####butter.net':80
- 'en####hbehind.net':80
- 'ex###tdried.net':80
- 'en####hbutter.net':80
- 'pi####ebroad.net':80
- 'ci#####teunderstand.net':80
- 'pi####ebehind.net':80
- 'ci####ttebroad.net':80
- 'fi####butter.net':80
- 'th####behind.net':80
- 'pi#####understand.net':80
- 'th####butter.net':80
- 'ch####enbroad.net':80
- 'fa#####nderstand.net':80
- 'ch####enbehind.net':80
- 'fa###ybroad.net':80
- 'pi####ebutter.net':80
- 'ci####ttebehind.net':80
- 'ch#####nunderstand.net':80
- 'ci####ttebutter.net':80
TCP:
Запросы HTTP GET:
- ei###rbroad.net/index.php?em###################################################
- en#####understand.net/index.php?em###################################################
- ei####behind.net/index.php?em###################################################
- en####hbroad.net/index.php?em###################################################
- ch####enbutter.net/index.php?em###################################################
- fa####behind.net/index.php?em###################################################
- ei#####nderstand.net/index.php?em###################################################
- fa####butter.net/index.php?em###################################################
- ex####fifteen.net/index.php?em###################################################
- be####edried.net/index.php?em###################################################
- ex###tangry.net/index.php?em###################################################
- be####efifteen.net/index.php?em###################################################
- ei####butter.net/index.php?em###################################################
- en####hbehind.net/index.php?em###################################################
- ex###tdried.net/index.php?em###################################################
- en####hbutter.net/index.php?em###################################################
- pi####ebroad.net/index.php?em###################################################
- ci#####teunderstand.net/index.php?em###################################################
- pi####ebehind.net/index.php?em###################################################
- ci####ttebroad.net/index.php?em###################################################
- fi####butter.net/index.php?em###################################################
- th####behind.net/index.php?em###################################################
- pi#####understand.net/index.php?em###################################################
- th####butter.net/index.php?em###################################################
- ch####enbroad.net/index.php?em###################################################
- fa#####nderstand.net/index.php?em###################################################
- ch####enbehind.net/index.php?em###################################################
- fa###ybroad.net/index.php?em###################################################
- pi####ebutter.net/index.php?em###################################################
- ci####ttebehind.net/index.php?em###################################################
- ch#####nunderstand.net/index.php?em###################################################
- ci####ttebutter.net/index.php?em###################################################
UDP:
- DNS ASK en####hbroad.net
- DNS ASK ei###rbroad.net
- DNS ASK en####hbehind.net
- DNS ASK ei####behind.net
- DNS ASK fa####butter.net
- DNS ASK ch####enbutter.net
- DNS ASK en#####understand.net
- DNS ASK ei#####nderstand.net
- DNS ASK be####efifteen.net
- DNS ASK ex####fifteen.net
- DNS ASK be####eangry.net
- DNS ASK ex###tangry.net
- DNS ASK en####hbutter.net
- DNS ASK ei####butter.net
- DNS ASK be####edried.net
- DNS ASK ex###tdried.net
- DNS ASK fa####behind.net
- DNS ASK pi####ebroad.net
- DNS ASK ci#####teunderstand.net
- DNS ASK pi####ebehind.net
- DNS ASK ci####ttebroad.net
- DNS ASK fi####butter.net
- DNS ASK th####behind.net
- DNS ASK pi#####understand.net
- DNS ASK th####butter.net
- DNS ASK ch####enbroad.net
- DNS ASK fa#####nderstand.net
- DNS ASK ch####enbehind.net
- DNS ASK fa###ybroad.net
- DNS ASK pi####ebutter.net
- DNS ASK ci####ttebehind.net
- DNS ASK ch#####nunderstand.net
- DNS ASK ci####ttebutter.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
