Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Information COM+ Parental Player' = 'C:\nnhuqpxwf\klsqynpja.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\DCOM Bluetooth WLAN Performance Provider] 'ImagePath' = 'C:\nnhuqpxwf\klsqynpja.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\DCOM Bluetooth WLAN Performance Provider] 'Start' = '00000002'
Изменения в файловой системе:
Создает следующие файлы:
- C:\nnhuqpxwf\klsqynpja.exe
- C:\nnhuqpxwf\rzhyjup.exe
- C:\nnhuqpxwf\pdmtqn
- %WINDIR%\nnhuqpxwf\uqebimbrtls
- C:\nnhuqpxwf\uqebimbrtls
- C:\nnhuqpxwf\wj4n42dgrfkh9uyujm.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\nnhuqpxwf\rzhyjup.exe
- C:\nnhuqpxwf\klsqynpja.exe
Удаляет следующие файлы:
- C:\nnhuqpxwf\wj4n42dgrfkh9uyujm.exe
- %WINDIR%\nnhuqpxwf\uqebimbrtls
Подменяет следующие файлы:
- %WINDIR%\nnhuqpxwf\uqebimbrtls
Сетевая активность:
Подключается к:
- 'of####uccess.net':80
- 'al####uccess.net':80
- 'of###spring.net':80
- 'al###spring.net':80
- 'tw###efound.net':80
- 'mi####spring.net':80
- 'al###banker.net':80
- 'mi###efound.net':80
- 'al###found.net':80
- 'co####espring.net':80
- 'ch####uccess.net':80
- 'co####efound.net':80
- 'ch###spring.net':80
- 'co####ebanker.net':80
- 'of###found.net':80
- 'co####esuccess.net':80
- 'ch###banker.net':80
TCP:
Запросы HTTP GET:
- http://of####uccess.net/index.php
- http://al####uccess.net/index.php
- http://of###spring.net/index.php
- http://al###spring.net/index.php
- http://tw###efound.net/index.php
- http://mi####spring.net/index.php
- http://al###banker.net/index.php
- http://mi###efound.net/index.php
- http://al###found.net/index.php
- http://co####espring.net/index.php
- http://ch####uccess.net/index.php
- http://co####efound.net/index.php
- http://ch###spring.net/index.php
- http://co####ebanker.net/index.php
- http://of###found.net/index.php
- http://co####esuccess.net/index.php
- http://ch###banker.net/index.php
UDP:
- DNS ASK al####uccess.net
- DNS ASK of###banker.net
- DNS ASK al###spring.net
- DNS ASK of####uccess.net
- DNS ASK al###banker.net
- DNS ASK mi####spring.net
- DNS ASK tw####spring.net
- DNS ASK mi###efound.net
- DNS ASK tw###efound.net
- DNS ASK of###spring.net
- DNS ASK co####espring.net
- DNS ASK ch####uccess.net
- DNS ASK co####efound.net
- DNS ASK ch###spring.net
- DNS ASK co####esuccess.net
- DNS ASK of###found.net
- DNS ASK al###found.net
- DNS ASK ch###banker.net
- DNS ASK co####ebanker.net
Другое:
Создает и запускает на исполнение:
- 'C:\nnhuqpxwf\rzhyjup.exe' "c:\nnhuqpxwf\klsqynpja.exe"
- 'C:\nnhuqpxwf\klsqynpja.exe'
- 'C:\nnhuqpxwf\wj4n42dgrfkh9uyujm.exe'
