Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Tools Shell Remote Protocol Initiator' = '%APPDATA%\ovn0pb\rrlamzt.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ovn0pb\h4juaemtcsub.exe' "%APPDATA%\ovn0pb\rrlamzt.exe"
- '%APPDATA%\ovn0pb\rrlamzt.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ovn0pb\rrlamzt.ggzlg
- %APPDATA%\ovn0pb\h4juaemtcsub.exe
- %APPDATA%\ovn0pb\rrlamzt.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ovn0pb\rrlamzt.exe
Сетевая активность:
Подключается к:
- 'mo####gdiscover.net':80
- 'ra####discover.net':80
- 'mo####gwonder.net':80
- 'st####emaster.net':80
- 'hi####ycontinue.net':80
- 'st####econtinue.net':80
- 'ra####wonder.net':80
- 'ra####continue.net':80
- 'tw####discover.net':80
- 'mi####discover.net':80
- 'mo####gmaster.net':80
- 'ra####master.net':80
- 'mo####gcontinue.net':80
- 'hi####ymaster.net':80
- 'we####rwonder.net':80
- 'am####wonder.net':80
- 'we####rmaster.net':80
- 'th####ontinue.net':80
- 'we####rdiscover.net':80
- 'am####discover.net':80
- 'am####master.net':80
- 'st####ediscover.net':80
- 'hi####ywonder.net':80
- 'st####ewonder.net':80
- 'we####rcontinue.net':80
- 'am####continue.net':80
- 'hi####ydiscover.net':80
- 'ch###wonder.net':80
- 'co####emaster.net':80
- 'ch###master.net':80
- 'co####ediscover.net':80
- 'ch####iscover.net':80
- 'co####ewonder.net':80
- 'co####econtinue.net':80
- 'pr####twonder.net':80
- 'th###wonder.net':80
- 'pr####tmaster.net':80
- 'ch####ontinue.net':80
- 'pr####tdiscover.net':80
- 'th####iscover.net':80
- 'of####ontinue.net':80
- 'mi####master.net':80
- 'tw####continue.net':80
- 'mi####continue.net':80
- 'tw####wonder.net':80
- 'mi####wonder.net':80
- 'tw####master.net':80
- 'al####iscover.net':80
- 'al###master.net':80
- 'of###master.net':80
- 'al####ontinue.net':80
- 'of####iscover.net':80
- 'al###wonder.net':80
- 'of###wonder.net':80
TCP:
Запросы HTTP GET:
- mo####gdiscover.net/index.php?em###########################################################
- ra####discover.net/index.php?em###########################################################
- mo####gwonder.net/index.php?em###########################################################
- st####emaster.net/index.php?em###########################################################
- hi####ycontinue.net/index.php?em###########################################################
- st####econtinue.net/index.php?em###########################################################
- ra####wonder.net/index.php?em###########################################################
- ra####continue.net/index.php?em###########################################################
- tw####discover.net/index.php?em###########################################################
- mi####discover.net/index.php?em###########################################################
- mo####gmaster.net/index.php?em###########################################################
- ra####master.net/index.php?em###########################################################
- mo####gcontinue.net/index.php?em###########################################################
- hi####ymaster.net/index.php?em###########################################################
- we####rwonder.net/index.php?em###########################################################
- am####wonder.net/index.php?em###########################################################
- we####rmaster.net/index.php?em###########################################################
- th####ontinue.net/index.php?em###########################################################
- we####rdiscover.net/index.php?em###########################################################
- am####discover.net/index.php?em###########################################################
- am####master.net/index.php?em###########################################################
- st####ediscover.net/index.php?em###########################################################
- hi####ywonder.net/index.php?em###########################################################
- st####ewonder.net/index.php?em###########################################################
- we####rcontinue.net/index.php?em###########################################################
- am####continue.net/index.php?em###########################################################
- hi####ydiscover.net/index.php?em###########################################################
- ch###wonder.net/index.php?em###########################################################
- co####emaster.net/index.php?em###########################################################
- ch###master.net/index.php?em###########################################################
- co####ediscover.net/index.php?em###########################################################
- ch####iscover.net/index.php?em###########################################################
- co####ewonder.net/index.php?em###########################################################
- co####econtinue.net/index.php?em###########################################################
- pr####twonder.net/index.php?em###########################################################
- th###wonder.net/index.php?em###########################################################
- pr####tmaster.net/index.php?em###########################################################
- ch####ontinue.net/index.php?em###########################################################
- pr####tdiscover.net/index.php?em###########################################################
- th####iscover.net/index.php?em###########################################################
- of####ontinue.net/index.php?em###########################################################
- mi####master.net/index.php?em###########################################################
- tw####continue.net/index.php?em###########################################################
- mi####continue.net/index.php?em###########################################################
- tw####wonder.net/index.php?em###########################################################
- mi####wonder.net/index.php?em###########################################################
- tw####master.net/index.php?em###########################################################
- al####iscover.net/index.php?em###########################################################
- al###master.net/index.php?em###########################################################
- of###master.net/index.php?em###########################################################
- al####ontinue.net/index.php?em###########################################################
- of####iscover.net/index.php?em###########################################################
- al###wonder.net/index.php?em###########################################################
- of###wonder.net/index.php?em###########################################################
UDP:
- DNS ASK st####econtinue.net
- DNS ASK mo####gdiscover.net
- DNS ASK ra####discover.net
- DNS ASK hi####ymaster.net
- DNS ASK st####emaster.net
- DNS ASK hi####ycontinue.net
- DNS ASK mo####gwonder.net
- DNS ASK mo####gcontinue.net
- DNS ASK ra####continue.net
- DNS ASK tw####discover.net
- DNS ASK ra####wonder.net
- DNS ASK mo####gmaster.net
- DNS ASK ra####master.net
- DNS ASK st####ewonder.net
- DNS ASK am####discover.net
- DNS ASK we####rwonder.net
- DNS ASK am####wonder.net
- DNS ASK cl####ontinue.net
- DNS ASK th####ontinue.net
- DNS ASK we####rdiscover.net
- DNS ASK we####rmaster.net
- DNS ASK hi####ydiscover.net
- DNS ASK st####ediscover.net
- DNS ASK hi####ywonder.net
- DNS ASK am####master.net
- DNS ASK we####rcontinue.net
- DNS ASK am####continue.net
- DNS ASK mi####discover.net
- DNS ASK ch###wonder.net
- DNS ASK co####emaster.net
- DNS ASK ch###master.net
- DNS ASK co####ediscover.net
- DNS ASK ch####iscover.net
- DNS ASK co####ewonder.net
- DNS ASK co####econtinue.net
- DNS ASK pr####twonder.net
- DNS ASK th###wonder.net
- DNS ASK pr####tmaster.net
- DNS ASK ch####ontinue.net
- DNS ASK pr####tdiscover.net
- DNS ASK th####iscover.net
- DNS ASK of####ontinue.net
- DNS ASK mi####master.net
- DNS ASK tw####continue.net
- DNS ASK mi####continue.net
- DNS ASK tw####wonder.net
- DNS ASK mi####wonder.net
- DNS ASK tw####master.net
- DNS ASK al####iscover.net
- DNS ASK al###master.net
- DNS ASK of###master.net
- DNS ASK al####ontinue.net
- DNS ASK of####iscover.net
- DNS ASK al###wonder.net
- DNS ASK of###wonder.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
