Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Intelligent Tunneling CardSpace Reports' = 'C:\tzmzaoeg\jwfoplbolxvzm.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Upgrade Interactive Installer Logs] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Upgrade Interactive Installer Logs] 'ImagePath' = 'C:\tzmzaoeg\jwfoplbolxvzm.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\tzmzaoeg\ll6lehpebsp
- C:\tzmzaoeg\ll6lehpebsp
- C:\tzmzaoeg\j3zdyre2sjsglsjjooxdl.exe
- C:\tzmzaoeg\jwfoplbolxvzm.exe
- C:\tzmzaoeg\srh3cj0nep.exe
- C:\tzmzaoeg\jugufsusitl
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\tzmzaoeg\jwfoplbolxvzm.exe
- C:\tzmzaoeg\srh3cj0nep.exe
Удаляет следующие файлы:
- %WINDIR%\tzmzaoeg\ll6lehpebsp
- C:\tzmzaoeg\j3zdyre2sjsglsjjooxdl.exe
Подменяет следующие файлы:
- %WINDIR%\tzmzaoeg\ll6lehpebsp
Сетевая активность:
Подключается к:
- 'sh#####learaminta.net':80
- 'gr#####lebannerman.net':80
- 'si#####erharrelson.net':80
- 'gr#####leharrelson.net':80
- 'he#####onbroadbent.net':80
- 'kr#####lebroadbent.net':80
- 'he#####onsanderson.net':80
- 'kr#####lesanderson.net':80
- 'he#####onbannerman.net':80
- 'kr#####lebannerman.net':80
- 'ga#####lasherilyn.net':80
- 'he#####onharrelson.net':80
- 'th#####nabroadbent.net':80
- 'ce#####nebroadbent.net':80
- 'th#####nasanderson.net':80
- 'ce#####nesanderson.net':80
- 'th#####nabannerman.net':80
- 'ce#####nebannerman.net':80
- 'th#####naharrelson.net':80
- 'ce#####neharrelson.net':80
- 'je#####onbroadbent.net':80
- 'gr#####lesanderson.net':80
- 'si#####erbannerman.net':80
- 'si#####ersanderson.net':80
- 'gr#####lebroadbent.net':80
- 'si#####erbroadbent.net':80
- 'sh#####lecharlize.net':80
- 'gr#####orsherilyn.net':80
- 'sh#####lesherilyn.net':80
- 'gr#####orsheenagh.net':80
- 'sh#####lesheenagh.net':80
- 'br#####iaaraminta.net':80
- 'ga#####laaraminta.net':80
- 'br#####iacharlize.net':80
- 'ga#####lacharlize.net':80
- 'br#####tebroadbent.net':80
- 'kr#####leharrelson.net':80
- 'br#####iasherilyn.net':80
- 'ga#####lasheenagh.net':80
- 'an#####laaraminta.net':80
- 'ga#####learaminta.net':80
- 'an#####lacharlize.net':80
- 'ga#####lecharlize.net':80
- 'an#####lasherilyn.net':80
- 'ga#####lesherilyn.net':80
- 'an#####lasheenagh.net':80
- 'ga#####lesheenagh.net':80
- 'gr#####orcharlize.net':80
- 'br#####iasheenagh.net':80
- 'je#####onsanderson.net':80
TCP:
Запросы HTTP GET:
- http://sh#####learaminta.net/index.php
- http://gr#####lebannerman.net/index.php
- http://si#####erharrelson.net/index.php
- http://gr#####leharrelson.net/index.php
- http://he#####onbroadbent.net/index.php
- http://kr#####lebroadbent.net/index.php
- http://he#####onsanderson.net/index.php
- http://kr#####lesanderson.net/index.php
- http://he#####onbannerman.net/index.php
- http://kr#####lebannerman.net/index.php
- http://ga#####lasherilyn.net/index.php
- http://he#####onharrelson.net/index.php
- http://th#####nabroadbent.net/index.php
- http://ce#####nebroadbent.net/index.php
- http://th#####nasanderson.net/index.php
- http://ce#####nesanderson.net/index.php
- http://th#####nabannerman.net/index.php
- http://ce#####nebannerman.net/index.php
- http://th#####naharrelson.net/index.php
- http://ce#####neharrelson.net/index.php
- http://je#####onbroadbent.net/index.php
- http://gr#####lesanderson.net/index.php
- http://si#####erbannerman.net/index.php
- http://si#####ersanderson.net/index.php
- http://gr#####lebroadbent.net/index.php
- http://si#####erbroadbent.net/index.php
- http://sh#####lecharlize.net/index.php
- http://gr#####orsherilyn.net/index.php
- http://sh#####lesherilyn.net/index.php
- http://gr#####orsheenagh.net/index.php
- http://sh#####lesheenagh.net/index.php
- http://br#####iaaraminta.net/index.php
- http://ga#####laaraminta.net/index.php
- http://br#####iacharlize.net/index.php
- http://ga#####lacharlize.net/index.php
- http://br#####tebroadbent.net/index.php
- http://kr#####leharrelson.net/index.php
- http://br#####iasherilyn.net/index.php
- http://ga#####lasheenagh.net/index.php
- http://an#####laaraminta.net/index.php
- http://ga#####learaminta.net/index.php
- http://an#####lacharlize.net/index.php
- http://ga#####lecharlize.net/index.php
- http://an#####lasherilyn.net/index.php
- http://ga#####lesherilyn.net/index.php
- http://an#####lasheenagh.net/index.php
- http://ga#####lesheenagh.net/index.php
- http://gr#####orcharlize.net/index.php
- http://br#####iasheenagh.net/index.php
- http://je#####onsanderson.net/index.php
UDP:
- DNS ASK sh#####learaminta.net
- DNS ASK gr#####lebannerman.net
- DNS ASK si#####erharrelson.net
- DNS ASK gr#####leharrelson.net
- DNS ASK he#####onbroadbent.net
- DNS ASK kr#####lebroadbent.net
- DNS ASK he#####onsanderson.net
- DNS ASK kr#####lesanderson.net
- DNS ASK he#####onbannerman.net
- DNS ASK kr#####lebannerman.net
- DNS ASK ga#####lasherilyn.net
- DNS ASK he#####onharrelson.net
- DNS ASK th#####nabroadbent.net
- DNS ASK ce#####nebroadbent.net
- DNS ASK th#####nasanderson.net
- DNS ASK ce#####nesanderson.net
- DNS ASK th#####nabannerman.net
- DNS ASK ce#####nebannerman.net
- DNS ASK th#####naharrelson.net
- DNS ASK ce#####neharrelson.net
- DNS ASK je#####onbroadbent.net
- DNS ASK gr#####lesanderson.net
- DNS ASK si#####erbannerman.net
- DNS ASK si#####ersanderson.net
- DNS ASK gr#####lebroadbent.net
- DNS ASK si#####erbroadbent.net
- DNS ASK sh#####lecharlize.net
- DNS ASK gr#####orsherilyn.net
- DNS ASK sh#####lesherilyn.net
- DNS ASK gr#####orsheenagh.net
- DNS ASK sh#####lesheenagh.net
- DNS ASK br#####iaaraminta.net
- DNS ASK ga#####laaraminta.net
- DNS ASK br#####iacharlize.net
- DNS ASK ga#####lacharlize.net
- DNS ASK br#####tebroadbent.net
- DNS ASK kr#####leharrelson.net
- DNS ASK br#####iasherilyn.net
- DNS ASK ga#####lasheenagh.net
- DNS ASK an#####laaraminta.net
- DNS ASK ga#####learaminta.net
- DNS ASK an#####lacharlize.net
- DNS ASK ga#####lecharlize.net
- DNS ASK an#####lasherilyn.net
- DNS ASK ga#####lesherilyn.net
- DNS ASK an#####lasheenagh.net
- DNS ASK ga#####lesheenagh.net
- DNS ASK gr#####orcharlize.net
- DNS ASK br#####iasheenagh.net
- DNS ASK je#####onsanderson.net
Другое:
Создает и запускает на исполнение:
- 'C:\tzmzaoeg\j3zdyre2sjsglsjjooxdl.exe'
- 'C:\tzmzaoeg\jwfoplbolxvzm.exe'
- 'C:\tzmzaoeg\srh3cj0nep.exe' "c:\tzmzaoeg\jwfoplbolxvzm.exe"
