Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '*CryptoLocker' = '"<LS_APPDATA>\Fpivibovqxopnnv.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'CryptoLocker' = '"<LS_APPDATA>\Fpivibovqxopnnv.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\Fpivibovqxopnnv.exe' -wb0
- '<LS_APPDATA>\Fpivibovqxopnnv.exe' "-r<Полный путь к вирусу>"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\BFLA2AB.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\home[1].htm
- %TEMP%\TLT332A.tmp
- %TEMP%\OLJ9980.tmp
- <LS_APPDATA>\Fpivibovqxopnnv.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <LS_APPDATA>\Fpivibovqxopnnv.exe
Удаляет следующие файлы:
- %TEMP%\BFLA2AB.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\home[1].htm
- %TEMP%\OLJ9980.tmp
- %TEMP%\TLT332A.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'om####rjfohtivf.org':80
- 'by####nghomhann.ru':80
- 'nr####eklgkgybn.biz':80
- 'jn####mfctooasa.com':80
- 'ju#####bgitfxnm.info':80
- 'is#####gilrbhyy.co.uk':80
- 'ae####ahngptagn.net':80
- 'ec####ynfsyovtl.org':80
- 'kc####glwpefcvn.ru':80
- 'ja####qkknqslim.biz':80
- 'sk####qpwbqowri.com':80
- 'fw#####mybvcocu.info':80
- 'rp#####qdstbuvh.co.uk':80
- 'ow####sjynfnfrx.ru':80
- 'ia####shuafncut.biz':80
- 'um####fbiuvjdpf.net':80
- 'ec#####bdnvsnva.info':80
- 'qo#####uqimooxh.co.uk':80
- 'ck####gplsorngy.org':80
- 'gi####fvdfxmjxc.com':80
- 'fw####guovkkqma.ru':80
- 'eu####aaqyigafi.biz':80
- 'kp####saaqqsaxv.net':80
- 'su#####pqaoibcf.info':80
- 'gr#####tiehxava.co.uk':80
- 'fp####nykhftaxa.org':80
- 'ik####lmxjtnjwc.net':80
- 'sp#####uaxfejkj.co.uk':80
- 'we####bnmkchjng.org':80
- 'vc####usonadjik.ru':80
- 'um####eiysbfcvd.net':80
- 'tk####xnbvybcxd.com':80
- 'tr#####pxuhiarb.info':80
- 'vj####gulmikaqu.biz':80
- 'cm#####fufheiav.co.uk':80
- 'oy####dcwfmrjfv.org':80
- 'ye####somgdbqu.biz':80
- 'uh####aanpggjch.net':80
- 'dh####cxvdbbkpp.com':80
- 'pt#####uxdgochx.info':80
- 'kc####irlbupjsf.org':80
- 'ja####sqyyhdjkq.ru':80
- 'sw####emtassncn.biz':80
- 'hi####vllhgbjvj.com':80
- 'mt#####qkhfhjqh.info':80
- 'lr#####pxfrusvk.co.uk':80
- 'fj####qghujooeu.net':80
- 'hb####nlumkqkxl.org':80
- 'sw####gsiljdjtg.ru':80
- 'fj####smvgaybxj.biz':80
- 'qf####jnutiburk.com':80
- 'dr#####hioywmdj.info':80
- 'uo#####rhrtujda.co.uk':80
UDP:
- DNS ASK om####rjfohtivf.org
- DNS ASK by####nghomhann.ru
- DNS ASK nr####eklgkgybn.biz
- DNS ASK jn####mfctooasa.com
- DNS ASK ju#####bgitfxnm.info
- DNS ASK is#####gilrbhyy.co.uk
- DNS ASK ae####ahngptagn.net
- DNS ASK ec####ynfsyovtl.org
- DNS ASK kc####glwpefcvn.ru
- DNS ASK ja####qkknqslim.biz
- DNS ASK sk####qpwbqowri.com
- DNS ASK fw#####mybvcocu.info
- DNS ASK rp#####qdstbuvh.co.uk
- DNS ASK ow####sjynfnfrx.ru
- DNS ASK ia####shuafncut.biz
- DNS ASK um####fbiuvjdpf.net
- DNS ASK ec#####bdnvsnva.info
- DNS ASK qo#####uqimooxh.co.uk
- DNS ASK ck####gplsorngy.org
- DNS ASK gi####fvdfxmjxc.com
- DNS ASK fw####guovkkqma.ru
- DNS ASK eu####aaqyigafi.biz
- DNS ASK kp####saaqqsaxv.net
- DNS ASK su#####pqaoibcf.info
- DNS ASK gr#####tiehxava.co.uk
- DNS ASK fp####nykhftaxa.org
- DNS ASK ik####lmxjtnjwc.net
- DNS ASK sp#####uaxfejkj.co.uk
- DNS ASK we####bnmkchjng.org
- DNS ASK vc####usonadjik.ru
- DNS ASK um####eiysbfcvd.net
- DNS ASK tk####xnbvybcxd.com
- DNS ASK tr#####pxuhiarb.info
- DNS ASK vj####gulmikaqu.biz
- DNS ASK cm#####fufheiav.co.uk
- DNS ASK oy####dcwfmrjfv.org
- DNS ASK ye####somgdbqu.biz
- DNS ASK uh####aanpggjch.net
- DNS ASK dh####cxvdbbkpp.com
- DNS ASK pt#####uxdgochx.info
- DNS ASK kc####irlbupjsf.org
- DNS ASK ja####sqyyhdjkq.ru
- DNS ASK sw####emtassncn.biz
- DNS ASK hi####vllhgbjvj.com
- DNS ASK mt#####qkhfhjqh.info
- DNS ASK lr#####pxfrusvk.co.uk
- DNS ASK fj####qghujooeu.net
- DNS ASK hb####nlumkqkxl.org
- DNS ASK sw####gsiljdjtg.ru
- DNS ASK fj####smvgaybxj.biz
- DNS ASK qf####jnutiburk.com
- DNS ASK dr#####hioywmdj.info
- DNS ASK uo#####rhrtujda.co.uk
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
