Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Protection PC Telephony SSDP Adaptive Font' = 'C:\tews3brgcba\mofjawz.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Framework Services Tablet DHCP] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\Framework Services Tablet DHCP] 'ImagePath' = 'C:\tews3brgcba\mofjawz.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\tews3brgcba\qhvkhtykfc
- C:\tews3brgcba\qhvkhtykfc
- C:\tews3brgcba\uuh5oh33w7rshgbe92o2i.exe
- C:\tews3brgcba\mofjawz.exe
- C:\tews3brgcba\pj2nygub.exe
- C:\tews3brgcba\qeaffecnqhn
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\tews3brgcba\mofjawz.exe
- C:\tews3brgcba\pj2nygub.exe
Удаляет следующие файлы:
- %WINDIR%\tews3brgcba\qhvkhtykfc
- C:\tews3brgcba\uuh5oh33w7rshgbe92o2i.exe
Подменяет следующие файлы:
- %WINDIR%\tews3brgcba\qhvkhtykfc
Сетевая активность:
Подключается к:
- 'ch#####anajessamyn.net':80
- 'gw#####inecalleigh.net':80
- 'ma#####liancalleigh.net':80
- 'gw#####inejessalyn.net':80
- 'ma#####lianjessalyn.net':80
- 'wi#####inajessamyn.net':80
- 'sa#####relljessamyn.net':80
- 'wi#####inakatheryn.net':80
- 'sa#####rellkatheryn.net':80
- 'wi#####inacalleigh.net':80
- 'sa#####rellcalleigh.net':80
- 'wi#####inajessalyn.net':80
- 'sa#####relljessalyn.net':80
- 'ea#####inejessamyn.net':80
- 'wa#####tonjessamyn.net':80
- 'ea#####inekatheryn.net':80
- 'wa#####tonkatheryn.net':80
- 'ea#####inecalleigh.net':80
- 'wa#####toncalleigh.net':80
- 'du#####llajessamyn.net':80
- 'ma#####liankatheryn.net':80
- 'gw#####inekatheryn.net':80
TCP:
Запросы HTTP GET:
- http://ch#####anajessamyn.net/index.php
- http://gw#####inecalleigh.net/index.php
- http://ma#####liancalleigh.net/index.php
- http://gw#####inejessalyn.net/index.php
- http://ma#####lianjessalyn.net/index.php
- http://wi#####inajessamyn.net/index.php
- http://sa#####relljessamyn.net/index.php
- http://wi#####inakatheryn.net/index.php
- http://sa#####rellkatheryn.net/index.php
- http://wi#####inacalleigh.net/index.php
- http://sa#####rellcalleigh.net/index.php
- http://wi#####inajessalyn.net/index.php
- http://sa#####relljessalyn.net/index.php
- http://ea#####inejessamyn.net/index.php
- http://wa#####tonjessamyn.net/index.php
- http://ea#####inekatheryn.net/index.php
- http://wa#####tonkatheryn.net/index.php
- http://ea#####inecalleigh.net/index.php
- http://wa#####toncalleigh.net/index.php
- http://du#####llajessamyn.net/index.php
- http://ma#####liankatheryn.net/index.php
- http://gw#####inekatheryn.net/index.php
UDP:
- DNS ASK ch#####anajessamyn.net
- DNS ASK ma#####liankatheryn.net
- DNS ASK gw#####inecalleigh.net
- DNS ASK ma#####liancalleigh.net
- DNS ASK gw#####inejessalyn.net
- DNS ASK ma#####lianjessalyn.net
- DNS ASK wi#####inajessamyn.net
- DNS ASK sa#####relljessamyn.net
- DNS ASK wi#####inakatheryn.net
- DNS ASK sa#####rellkatheryn.net
- DNS ASK wi#####inacalleigh.net
- DNS ASK gw#####inekatheryn.net
- DNS ASK sa#####rellcalleigh.net
- DNS ASK sa#####relljessalyn.net
- DNS ASK ea#####inejessamyn.net
- DNS ASK wa#####tonjessamyn.net
- DNS ASK ea#####inekatheryn.net
- DNS ASK wa#####tonkatheryn.net
- DNS ASK ea#####inecalleigh.net
- DNS ASK wa#####toncalleigh.net
- DNS ASK ea#####inejessalyn.net
- DNS ASK wa#####tonjessalyn.net
- DNS ASK du#####llajessamyn.net
- DNS ASK wi#####inajessalyn.net
- DNS ASK ma#####lianjessamyn.net
Другое:
Создает и запускает на исполнение:
- 'C:\tews3brgcba\uuh5oh33w7rshgbe92o2i.exe'
- 'C:\tews3brgcba\mofjawz.exe'
- 'C:\tews3brgcba\pj2nygub.exe' "c:\tews3brgcba\mofjawz.exe"
