Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Internet Authentication Source' = '%APPDATA%\zijejjtgg\fleqpwm.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\zijejjtgg\xkztkeotg.exe' "%APPDATA%\zijejjtgg\fleqpwm.exe"
- '%APPDATA%\zijejjtgg\fleqpwm.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\zijejjtgg\fleqpwm.nsoe
- %APPDATA%\zijejjtgg\xkztkeotg.exe
- %APPDATA%\zijejjtgg\fleqpwm.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\zijejjtgg\xkztkeotg.exe
- %APPDATA%\zijejjtgg\fleqpwm.exe
Сетевая активность:
Подключается к:
- 'th####hneighbor.net':80
- 'ef####spread.net':80
- 'ef####neighbor.net':80
- 'ef####square.net':80
- 'th####hsquare.net':80
- 'fo####square.net':80
- 'in####sesquare.net':80
- 'in####seattempt.net':80
- 'th####hspread.net':80
- 'fo####attempt.net':80
- 'su####square.net':80
- 'wi####neighbor.net':80
- 'wi####square.net':80
- 'wi####attempt.net':80
- 'su####attempt.net':80
- 'ef####attempt.net':80
- 'th####hattempt.net':80
- 'su####spread.net':80
- 'su####neighbor.net':80
- 'wi####spread.net':80
TCP:
Запросы HTTP GET:
- http://th####hneighbor.net/forum/search.php?em####################################
- http://ef####spread.net/forum/search.php?em####################################
- http://ef####neighbor.net/forum/search.php?em####################################
- http://ef####square.net/forum/search.php?em####################################
- http://th####hsquare.net/forum/search.php?em####################################
- http://fo####square.net/forum/search.php?em####################################
- http://in####sesquare.net/forum/search.php?em####################################
- http://in####seattempt.net/forum/search.php?em####################################
- http://th####hspread.net/forum/search.php?em####################################
- http://fo####attempt.net/forum/search.php?em####################################
- http://su####square.net/forum/search.php?em####################################
- http://wi####neighbor.net/forum/search.php?em####################################
- http://wi####square.net/forum/search.php?em####################################
- http://wi####attempt.net/forum/search.php?em####################################
- http://su####attempt.net/forum/search.php?em####################################
- http://ef####attempt.net/forum/search.php?em####################################
- http://th####hattempt.net/forum/search.php?em####################################
- http://su####spread.net/forum/search.php?em####################################
- http://su####neighbor.net/forum/search.php?em####################################
- http://wi####spread.net/forum/search.php?em####################################
UDP:
- DNS ASK ef####spread.net
- DNS ASK th####hspread.net
- DNS ASK th####hneighbor.net
- DNS ASK th####hsquare.net
- DNS ASK ef####neighbor.net
- DNS ASK in####sesquare.net
- DNS ASK fo####neighbor.net
- DNS ASK fo####square.net
- DNS ASK fo####attempt.net
- DNS ASK in####seattempt.net
- DNS ASK ef####square.net
- DNS ASK su####square.net
- DNS ASK wi####neighbor.net
- DNS ASK wi####square.net
- DNS ASK wi####attempt.net
- DNS ASK su####attempt.net
- DNS ASK ef####attempt.net
- DNS ASK th####hattempt.net
- DNS ASK su####spread.net
- DNS ASK su####neighbor.net
- DNS ASK wi####spread.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
