Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '*CryptoLocker' = '"<LS_APPDATA>\Fpivibovqxopnnv.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'CryptoLocker' = '"<LS_APPDATA>\Fpivibovqxopnnv.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\Fpivibovqxopnnv.exe' -wb0
- '<LS_APPDATA>\Fpivibovqxopnnv.exe' "-r<Полный путь к вирусу>"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\SUJ89F5.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\home[1].htm
- %TEMP%\YNJDF50.tmp
- %TEMP%\WBD3533.tmp
- <LS_APPDATA>\Fpivibovqxopnnv.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <LS_APPDATA>\Fpivibovqxopnnv.exe
Удаляет следующие файлы:
- %TEMP%\SUJ89F5.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\home[1].htm
- %TEMP%\WBD3533.tmp
- %TEMP%\YNJDF50.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ie#####nvcktau.co.uk':80
- 'ur####ogmoyjrv.org':80
- 'hi####phnrfgxx.ru':80
- 'fv####fpavnnvx.net':80
- 'fx####elbfmgmn.com':80
- 'ea####ajrliavg.info':80
- 'jq####ayqkpamj.info':80
- 've#####rhwepnm.co.uk':80
- 'bq####dmgdqkkc.org':80
- 'tv####jaeetvyi.biz':80
- 'km####ffyuunvy.net':80
- 'wa####yxphjdns.com':80
- 'gt####jrjprtvr.biz':80
- 'et####ixsftcao.org':80
- 'vn####npikqdwn.ru':80
- 'ib####xccctwxw.biz':80
- 'tf####dxfrgjbg.com':80
- 'gs####nkyjjdcw.info':80
- 'rg#####lynqiik.co.uk':80
- 'dn#####xwddtou.co.uk':80
- 'dp####ttxmcmmv.org':80
- 'cr####prosxgvv.ru':80
- 'to####idcgbcws.net':80
- 'gc####spvxevop.com':80
- 'el####yagwhaoh.info':80
- 'as####phaoxatf.ru':80
- 'ot####ibvsbbyu.com':80
- 'nv####eymywuiu.info':80
- 'tr#####seukbib.co.uk':80
- 'ta####fhxswfgv.ru':80
- 'pp####unwpoxis.biz':80
- 'or####qlnvkrig.net':80
- 'ti####qbmurrta.net':80
- 'gv####ktdhghlb.com':80
- 'td####hyvurglh.org':80
- 'st####yqubguih.org':80
- 'sv####qgdxwegc.ru':80
- 'rx####metesxpu.biz':80
- 'hm####uuebtloy.org':80
- 'eu####xmhttdtj.info':80
- 'dt#####sovfvrj.co.uk':80
- 'cv####lnihmlrv.org':80
- 'yr####qnhqjskf.biz':80
- 'xt####dibcqiky.net':80
- 'fs####lrnimnkn.com':80
- 'px####wcqnbcks.com':80
- 'jl####htdnbdho.info':80
- 'vy#####gwfewix.co.uk':80
- 'fj####yovifasw.ru':80
- 'rw####jbpaittn.biz':80
- 'dk####mpwvxiso.net':80
UDP:
- DNS ASK ie#####nvcktau.co.uk
- DNS ASK ur####ogmoyjrv.org
- DNS ASK hi####phnrfgxx.ru
- DNS ASK fv####fpavnnvx.net
- DNS ASK fx####elbfmgmn.com
- DNS ASK ea####ajrliavg.info
- DNS ASK jq####ayqkpamj.info
- DNS ASK ve#####rhwepnm.co.uk
- DNS ASK bq####dmgdqkkc.org
- DNS ASK tv####jaeetvyi.biz
- DNS ASK km####ffyuunvy.net
- DNS ASK wa####yxphjdns.com
- DNS ASK gt####jrjprtvr.biz
- DNS ASK et####ixsftcao.org
- DNS ASK vn####npikqdwn.ru
- DNS ASK ib####xccctwxw.biz
- DNS ASK tf####dxfrgjbg.com
- DNS ASK gs####nkyjjdcw.info
- DNS ASK rg#####lynqiik.co.uk
- DNS ASK dn#####xwddtou.co.uk
- DNS ASK dp####ttxmcmmv.org
- DNS ASK cr####prosxgvv.ru
- DNS ASK to####idcgbcws.net
- DNS ASK gc####spvxevop.com
- DNS ASK el####yagwhaoh.info
- DNS ASK as####phaoxatf.ru
- DNS ASK ot####ibvsbbyu.com
- DNS ASK nv####eymywuiu.info
- DNS ASK tr#####seukbib.co.uk
- DNS ASK ta####fhxswfgv.ru
- DNS ASK pp####unwpoxis.biz
- DNS ASK or####qlnvkrig.net
- DNS ASK ti####qbmurrta.net
- DNS ASK gv####ktdhghlb.com
- DNS ASK td####hyvurglh.org
- DNS ASK st####yqubguih.org
- DNS ASK sv####qgdxwegc.ru
- DNS ASK rx####metesxpu.biz
- DNS ASK hm####uuebtloy.org
- DNS ASK eu####xmhttdtj.info
- DNS ASK dt#####sovfvrj.co.uk
- DNS ASK cv####lnihmlrv.org
- DNS ASK yr####qnhqjskf.biz
- DNS ASK xt####dibcqiky.net
- DNS ASK fs####lrnimnkn.com
- DNS ASK px####wcqnbcks.com
- DNS ASK jl####htdnbdho.info
- DNS ASK vy#####gwfewix.co.uk
- DNS ASK fj####yovifasw.ru
- DNS ASK rw####jbpaittn.biz
- DNS ASK dk####mpwvxiso.net
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
