Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'PromoReg' = '<Полный путь к файлу>'
Вредоносные функции:
Читает файлы, отвечающие за хранение паролей сторонними программами:
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\signons.sqlite
- %APPDATA%\Mozilla\Firefox\profiles.ini
Сетевая активность:
Подключается к:
- '15#.5.16.34':80
- '85.##0.201.16':80
- '24.##.104.249':80
- '70.##7.159.138':80
- '84.##.42.177':80
- '72.##.115.33':80
- '87.##0.104.204':80
- '71.##0.108.65':80
- '84.#2.45.37':80
- '68.##.189.195':80
- '99.##1.48.198':80
- '85.##.178.249':80
- '13#.#60.97.80':80
- '24.##1.112.61':80
- '89.##9.180.253':80
- '20#.#02.1.156':80
- '89.#5.39.67':80
- '92.##4.17.83':80
- '84.##1.28.19':80
- '89.##6.169.33':80
TCP:
Запросы HTTP POST:
- http://15#.5.16.34/vhevvioiuuha.htm
- http://68.##.189.195/nnsvmfqxwetk.htm
- http://72.##.115.33/hjgss.htm
- http://13#.#60.97.80/hzvsnijx.htm
- http://85.##.178.249/wvgvbssoy.htm
- http://89.#5.39.67/tdikmokri.png
- http://84.##1.28.19/cbhhxxyf.png
- http://85.##.178.249/vxgjfi.png
- http://24.##.104.249/lzawjbmklr.htm
- http://24.##1.112.61/hfxol.png
- http://13#.#60.97.80/vfrrr.htm
- http://89.##6.169.33/rry.png
- http://87.##0.104.204/botu.htm
- http://84.#2.45.37/nkmcxbexwh.png
- http://24.##.104.249/kgr.htm
- http://84.##1.28.19/
- http://71.##0.108.65/lgssyja.png
- http://85.##.178.249/gys.png
- http://70.##7.159.138/olokvwrcwrkb.htm
- http://70.##7.159.138/xqdrodrjsa.png
- http://84.##1.28.19/crl.png
- http://84.#2.45.37/uoq.htm
- http://87.##0.104.204/hkheieqeo.png
- http://87.##0.104.204/jsrehcnsuf.png
- http://24.##.104.249/dbjnwliu.png
- http://72.##.115.33/egszuxss.png
- http://99.##1.48.198/coqvfvdq.png
- http://89.#5.39.67/uvgdapkdam.png
- http://92.##4.17.83/zsffmgb.png
- http://89.##6.169.33/jfxl.htm
- http://85.##0.201.16/tiqtb.htm
- http://24.##.104.249/ayvgaywikvsr.htm
- http://92.##4.17.83/ftfhsm.png
- http://92.##4.17.83/pqkmdmz.htm
- http://84.##.42.177/rynfjsepxhym.htm
- http://99.##1.48.198/nfppg.png
- http://70.##7.159.138/cxsedv.htm
- http://15#.5.16.34/bppshqh.png
- http://92.##4.17.83/amjzdpn.png
- http://87.##0.104.204/nfyorgvrgzy.htm
- http://92.##4.17.83/kvsjgdk.htm
- http://71.##0.108.65/vgmicq.htm
- http://85.##.178.249/jckutsw.htm
- http://84.#2.45.37/qar.htm
- http://85.##.178.249/twmnwgpjuj.png
- http://68.##.189.195/qglycsgnacv.htm
- http://89.##9.180.253/zdgapi.png
- http://99.##1.48.198/wmaxoprwbp.png
- http://20#.#02.1.156/slkdic.htm
- http://92.##4.17.83/xrbv.png
- http://85.##.178.249/awsatex.png
- http://92.##4.17.83/clcpkpha.png
- http://20#.#02.1.156/lisseii.htm
- http://13#.#60.97.80/dlwfxgtj.htm
- http://24.##1.112.61/uvuhzsc.htm
- http://89.##9.180.253/kjm.htm
- http://20#.#02.1.156/snumoema.htm
- http://89.#5.39.67/gockbi.htm
- http://92.##4.17.83/
- http://87.##0.104.204/tftui.png
- http://99.##1.48.198/zldchbnuwxo.htm
- http://71.##0.108.65/mrmhdoojbzj.png
- http://72.##.115.33/twbgwq.htm
- http://99.##1.48.198/vtacvhttda.png
- http://84.##.42.177/xide.png
- http://13#.#60.97.80/drlvzduwaxih.png
- http://84.#2.45.37/eronkls.png
- http://85.##0.201.16/hrrqntcwma.png
- http://24.##.104.249/jjr.png
- http://84.##.42.177/fxmavafgjujl.htm
- http://84.##.42.177/wzpfjp.png
- http://15#.5.16.34/vdeg.png
- http://85.##0.201.16/riivpyke.png
- http://72.##.115.33/kzj.htm
- http://99.##1.48.198/pvyjhkn.htm
- http://24.##1.112.61/kweaftpwbe.png
- http://84.#2.45.37/oxgch.png
- http://84.#2.45.37/nqkmoyq.htm
- http://92.##4.17.83/ujywh.htm
- http://70.##7.159.138/bvfuepwy.htm
- http://92.##4.17.83/hpgywyegbsrd.png
- http://85.##.178.249/dpipqoad.png
- http://13#.#60.97.80/qeyynxenft.htm
- http://84.##1.28.19/lpxvrd.htm
