Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Tools Performance Registry' = 'C:\ofatgbwmfekvh\grxzvwkeb.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Topology File Multimedia Manager WWAN Internet] 'ImagePath' = 'C:\ofatgbwmfekvh\grxzvwkeb.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Topology File Multimedia Manager WWAN Internet] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\ofatgbwmfekvh\oxolsuu.exe' "c:\ofatgbwmfekvh\grxzvwkeb.exe"
- 'C:\ofatgbwmfekvh\grxzvwkeb.exe'
- 'C:\ofatgbwmfekvh\os3ew1wmacrmzqru.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\ofatgbwmfekvh\grxzvwkeb.exe
- C:\ofatgbwmfekvh\oxolsuu.exe
- C:\ofatgbwmfekvh\os3ew1wmacrmzqru.exe
- %WINDIR%\ofatgbwmfekvh\b0upjetdorz
- C:\ofatgbwmfekvh\b0upjetdorz
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\ofatgbwmfekvh\oxolsuu.exe
- C:\ofatgbwmfekvh\grxzvwkeb.exe
Удаляет следующие файлы:
- C:\ofatgbwmfekvh\os3ew1wmacrmzqru.exe
- %WINDIR%\ofatgbwmfekvh\b0upjetdorz
Подменяет следующие файлы:
- %WINDIR%\ofatgbwmfekvh\b0upjetdorz
Сетевая активность:
Подключается к:
- 'he###method.net':80
- 'di####ultaction.net':80
- 'he###action.net':80
- 'di####ultmethod.net':80
- 'gl###direct.net':80
- 'an####brought.net':80
- 'gl####rought.net':80
- 'pl####ntmethod.net':80
- 'ne####arymethod.net':80
- 'pl####ntaction.net':80
- 'he####rought.net':80
- 'di####ultdirect.net':80
- 'he###direct.net':80
- 'di#####ltbrought.net':80
- 'an####direct.net':80
- 'de####action.net':80
- 'fo####daction.net':80
- 'de####direct.net':80
- 'fo####dmethod.net':80
- 'va####sworth.net':80
- 're###nworth.net':80
- 'de####method.net':80
- 'gl###method.net':80
- 'an####action.net':80
- 'gl###action.net':80
- 'an####method.net':80
- 'fo####ddirect.net':80
- 'de####brought.net':80
- 'fo####dbrought.net':80
TCP:
Запросы HTTP GET:
- http://he###method.net/index.php
- http://di####ultaction.net/index.php
- http://he###action.net/index.php
- http://di####ultmethod.net/index.php
- http://gl###direct.net/index.php
- http://an####brought.net/index.php
- http://gl####rought.net/index.php
- http://pl####ntmethod.net/index.php
- http://ne####arymethod.net/index.php
- http://pl####ntaction.net/index.php
- http://he####rought.net/index.php
- http://di####ultdirect.net/index.php
- http://he###direct.net/index.php
- http://di#####ltbrought.net/index.php
- http://an####direct.net/index.php
- http://de####action.net/index.php
- http://fo####daction.net/index.php
- http://de####direct.net/index.php
- http://fo####dmethod.net/index.php
- http://va####sworth.net/index.php
- http://re###nworth.net/index.php
- http://de####method.net/index.php
- http://gl###method.net/index.php
- http://an####action.net/index.php
- http://gl###action.net/index.php
- http://an####method.net/index.php
- http://fo####ddirect.net/index.php
- http://de####brought.net/index.php
- http://fo####dbrought.net/index.php
UDP:
- DNS ASK he###method.net
- DNS ASK di####ultaction.net
- DNS ASK he###action.net
- DNS ASK di####ultmethod.net
- DNS ASK gl###direct.net
- DNS ASK an####brought.net
- DNS ASK gl####rought.net
- DNS ASK di####ultdirect.net
- DNS ASK ne####arymethod.net
- DNS ASK pl####ntaction.net
- DNS ASK ne####aryaction.net
- DNS ASK pl####ntmethod.net
- DNS ASK he###direct.net
- DNS ASK di#####ltbrought.net
- DNS ASK he####rought.net
- DNS ASK de####action.net
- DNS ASK fo####daction.net
- DNS ASK de####direct.net
- DNS ASK fo####dmethod.net
- DNS ASK va####sworth.net
- DNS ASK re###nworth.net
- DNS ASK de####method.net
- DNS ASK fo####ddirect.net
- DNS ASK an####action.net
- DNS ASK gl###action.net
- DNS ASK an####direct.net
- DNS ASK gl###method.net
- DNS ASK de####brought.net
- DNS ASK fo####dbrought.net
- DNS ASK an####method.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
