Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Media Resource Assistant BitLocker' = '%APPDATA%\xxuwkazdzfow\zlqmqlr.exe'
Вредоносные функции:
Запускает на исполнение:
- '%APPDATA%\xxuwkazdzfow\uxslxsus.exe' "%APPDATA%\xxuwkazdzfow\zlqmqlr.exe"
- '%APPDATA%\xxuwkazdzfow\zlqmqlr.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\xxuwkazdzfow\zlqmqlr.qc
- %APPDATA%\xxuwkazdzfow\uxslxsus.exe
- %APPDATA%\xxuwkazdzfow\zlqmqlr.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\xxuwkazdzfow\uxslxsus.exe
- %APPDATA%\xxuwkazdzfow\zlqmqlr.exe
Сетевая активность:
Подключается к:
- 'ri####osition.net':80
- 'wh####rstrike.net':80
- 'ri###number.net':80
- 'wh####rposition.net':80
- 'ri###strike.net':80
- 'fi####number.net':80
- 'th####number.net':80
- 'wh####rpartial.net':80
- 'ri####artial.net':80
- 'su####position.net':80
- 'fo####nposition.net':80
- 'su####number.net':80
- 'fo####nnumber.net':80
- 'su####strike.net':80
- 'fo####npartial.net':80
- 'wh####rnumber.net':80
- 'fo####nstrike.net':80
- 'su####partial.net':80
- 'ci####ttestrike.net':80
- 'pi####epartial.net':80
- 'ci#####teposition.net':80
- 'pi####estrike.net':80
- 'ci#####tepartial.net':80
- 'ch#####nposition.net':80
- 'fa####position.net':80
- 'ch####ennumber.net':80
- 'fa####number.net':80
- 'fi####strike.net':80
- 'th####strike.net':80
- 'fi####position.net':80
- 'th####position.net':80
- 'fi####partial.net':80
- 'ci####ttenumber.net':80
- 'pi####eposition.net':80
- 'th####partial.net':80
- 'pi####enumber.net':80
- 'fa####delight.net':80
- 'ei####borrow.net':80
- 'fa#####lectricity.net':80
- 'ch####endelight.net':80
- 'en####hborrow.net':80
- 'ei#####lectricity.net':80
- 'en#####electricity.net':80
- 'ei###rtrain.net':80
- 'en####htrain.net':80
- 'pi####edelight.net':80
- 'ci#####tedelight.net':80
- 'pi#####electricity.net':80
- 'ci######eelectricity.net':80
- 'ch####enborrow.net':80
- 'fa###ytrain.net':80
- 'ch#####nelectricity.net':80
- 'fa####borrow.net':80
- 'ch####entrain.net':80
- 'ma####enumber.net':80
- 'pe####position.net':80
- 'be####epartial.net':80
- 'pe####number.net':80
- 'ma####eposition.net':80
- 'pe####partial.net':80
- 'ma####epartial.net':80
- 'pe####strike.net':80
- 'ma####estrike.net':80
- 'ex####number.net':80
- 'be####enumber.net':80
- 'ei####delight.net':80
- 'en####hdelight.net':80
- 'ex####position.net':80
- 'be####estrike.net':80
- 'ex####partial.net':80
- 'be####eposition.net':80
- 'ex####strike.net':80
TCP:
Запросы HTTP GET:
- http://ri####osition.net/forum/search.php?em###################################
- http://wh####rstrike.net/forum/search.php?em###################################
- http://ri###number.net/forum/search.php?em###################################
- http://wh####rposition.net/forum/search.php?em###################################
- http://ri###strike.net/forum/search.php?em###################################
- http://fi####number.net/forum/search.php?em###################################
- http://th####number.net/forum/search.php?em###################################
- http://wh####rpartial.net/forum/search.php?em###################################
- http://ri####artial.net/forum/search.php?em###################################
- http://su####position.net/forum/search.php?em###################################
- http://fo####nposition.net/forum/search.php?em###################################
- http://su####number.net/forum/search.php?em###################################
- http://fo####nnumber.net/forum/search.php?em###################################
- http://su####strike.net/forum/search.php?em###################################
- http://fo####npartial.net/forum/search.php?em###################################
- http://wh####rnumber.net/forum/search.php?em###################################
- http://fo####nstrike.net/forum/search.php?em###################################
- http://su####partial.net/forum/search.php?em###################################
- http://ci####ttestrike.net/forum/search.php?em###################################
- http://pi####epartial.net/forum/search.php?em###################################
- http://ci#####teposition.net/forum/search.php?em###################################
- http://pi####estrike.net/forum/search.php?em###################################
- http://ci#####tepartial.net/forum/search.php?em###################################
- http://ch#####nposition.net/forum/search.php?em###################################
- http://fa####position.net/forum/search.php?em###################################
- http://ch####ennumber.net/forum/search.php?em###################################
- http://fa####number.net/forum/search.php?em###################################
- http://fi####strike.net/forum/search.php?em###################################
- http://th####strike.net/forum/search.php?em###################################
- http://fi####position.net/forum/search.php?em###################################
- http://th####position.net/forum/search.php?em###################################
- http://fi####partial.net/forum/search.php?em###################################
- http://ci####ttenumber.net/forum/search.php?em###################################
- http://pi####eposition.net/forum/search.php?em###################################
- http://th####partial.net/forum/search.php?em###################################
- http://pi####enumber.net/forum/search.php?em###################################
- http://fa####delight.net/forum/search.php?em###################################
- http://ei####borrow.net/forum/search.php?em###################################
- http://fa#####lectricity.net/forum/search.php?em###################################
- http://ch####endelight.net/forum/search.php?em###################################
- http://en####hborrow.net/forum/search.php?em###################################
- http://ei#####lectricity.net/forum/search.php?em###################################
- http://en#####electricity.net/forum/search.php?em###################################
- http://ei###rtrain.net/forum/search.php?em###################################
- http://en####htrain.net/forum/search.php?em###################################
- http://pi####edelight.net/forum/search.php?em###################################
- http://ci#####tedelight.net/forum/search.php?em###################################
- http://pi#####electricity.net/forum/search.php?em###################################
- http://ci######eelectricity.net/forum/search.php?em###################################
- http://ch####enborrow.net/forum/search.php?em###################################
- http://fa###ytrain.net/forum/search.php?em###################################
- http://ch#####nelectricity.net/forum/search.php?em###################################
- http://fa####borrow.net/forum/search.php?em###################################
- http://ch####entrain.net/forum/search.php?em###################################
- http://ma####enumber.net/forum/search.php?em###################################
- http://pe####position.net/forum/search.php?em###################################
- http://be####epartial.net/forum/search.php?em###################################
- http://pe####number.net/forum/search.php?em###################################
- http://ma####eposition.net/forum/search.php?em###################################
- http://pe####partial.net/forum/search.php?em###################################
- http://ma####epartial.net/forum/search.php?em###################################
- http://pe####strike.net/forum/search.php?em###################################
- http://ma####estrike.net/forum/search.php?em###################################
- http://ex####number.net/forum/search.php?em###################################
- http://be####enumber.net/forum/search.php?em###################################
- http://ei####delight.net/forum/search.php?em###################################
- http://en####hdelight.net/forum/search.php?em###################################
- http://ex####position.net/forum/search.php?em###################################
- http://be####estrike.net/forum/search.php?em###################################
- http://ex####partial.net/forum/search.php?em###################################
- http://be####eposition.net/forum/search.php?em###################################
- http://ex####strike.net/forum/search.php?em###################################
UDP:
- DNS ASK ri####osition.net
- DNS ASK wh####rstrike.net
- DNS ASK ri###number.net
- DNS ASK wh####rposition.net
- DNS ASK ri###strike.net
- DNS ASK fi####number.net
- DNS ASK th####number.net
- DNS ASK wh####rpartial.net
- DNS ASK ri####artial.net
- DNS ASK su####position.net
- DNS ASK fo####nposition.net
- DNS ASK su####number.net
- DNS ASK fo####nnumber.net
- DNS ASK su####strike.net
- DNS ASK fo####npartial.net
- DNS ASK wh####rnumber.net
- DNS ASK fo####nstrike.net
- DNS ASK su####partial.net
- DNS ASK ci####ttestrike.net
- DNS ASK pi####epartial.net
- DNS ASK ci#####teposition.net
- DNS ASK pi####estrike.net
- DNS ASK ci#####tepartial.net
- DNS ASK ch#####nposition.net
- DNS ASK fa####position.net
- DNS ASK ch####ennumber.net
- DNS ASK fa####number.net
- DNS ASK fi####strike.net
- DNS ASK th####strike.net
- DNS ASK fi####position.net
- DNS ASK th####position.net
- DNS ASK fi####partial.net
- DNS ASK ci####ttenumber.net
- DNS ASK pi####eposition.net
- DNS ASK th####partial.net
- DNS ASK pi####enumber.net
- DNS ASK fa####delight.net
- DNS ASK ei####borrow.net
- DNS ASK fa#####lectricity.net
- DNS ASK ch####endelight.net
- DNS ASK en####hborrow.net
- DNS ASK ei#####lectricity.net
- DNS ASK en#####electricity.net
- DNS ASK ei###rtrain.net
- DNS ASK en####htrain.net
- DNS ASK pi####edelight.net
- DNS ASK ci#####tedelight.net
- DNS ASK pi#####electricity.net
- DNS ASK ci######eelectricity.net
- DNS ASK ch####enborrow.net
- DNS ASK fa###ytrain.net
- DNS ASK ch#####nelectricity.net
- DNS ASK fa####borrow.net
- DNS ASK ch####entrain.net
- DNS ASK ma####enumber.net
- DNS ASK pe####position.net
- DNS ASK be####epartial.net
- DNS ASK pe####number.net
- DNS ASK ma####eposition.net
- DNS ASK pe####partial.net
- DNS ASK ma####epartial.net
- DNS ASK pe####strike.net
- DNS ASK ma####estrike.net
- DNS ASK ex####number.net
- DNS ASK be####enumber.net
- DNS ASK ei####delight.net
- DNS ASK en####hdelight.net
- DNS ASK ex####position.net
- DNS ASK be####estrike.net
- DNS ASK ex####partial.net
- DNS ASK be####eposition.net
- DNS ASK ex####strike.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
