Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Network Sharing Media Parental UPnP Adaptive' = '%APPDATA%\Roaming\drtpclvtcrm\bgmfrydt.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Roaming\drtpclvtcrm\elcpfqnaq.exe' "%APPDATA%\Roaming\drtpclvtcrm\bgmfrydt.exe"
- '%APPDATA%\Roaming\drtpclvtcrm\bgmfrydt.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Roaming\drtpclvtcrm\bgmfrydt.va2
- %APPDATA%\Roaming\drtpclvtcrm\elcpfqnaq.exe
- %APPDATA%\Roaming\drtpclvtcrm\bgmfrydt.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Roaming\drtpclvtcrm\elcpfqnaq.exe
- %APPDATA%\Roaming\drtpclvtcrm\bgmfrydt.exe
Сетевая активность:
Подключается к:
- 'he####yellow.net':80
- 'le###rclose.net':80
- 'le####yellow.net':80
- 'le####travel.net':80
- 'he####travel.net':80
- 'ge####yellow.net':80
- 'ge###eclose.net':80
- 'ge####travel.net':80
- 'he###nclose.net':80
- 'ge###espace.net':80
- 're####etravel.net':80
- 'or###yellow.net':80
- 'or###travel.net':80
- 'or###space.net':80
- 're####espace.net':80
- 'le###rspace.net':80
- 'he###nspace.net':80
- 're####eclose.net':80
- 're####eyellow.net':80
- 'or###close.net':80
- 'do###dollar.net':80
- 'ag####trealize.net':80
- 'ag####tdollar.net':80
- 'ag####twritten.net':80
- 'do####ritten.net':80
- 'ni####ritten.net':80
- 'de####written.net':80
- 'de###eshore.net':80
- 'do####ealize.net':80
- 'ni###shore.net':80
- 're####travel.net':80
- 'va####syellow.net':80
- 'va####stravel.net':80
- 'va####sspace.net':80
- 're###nspace.net':80
- 'ag####tshore.net':80
- 'do###shore.net':80
- 're###nclose.net':80
- 're####yellow.net':80
- 'va####sclose.net':80
- 'fo####dyellow.net':80
- 'de###eclose.net':80
- 'de####yellow.net':80
- 'de####travel.net':80
- 'fo####dtravel.net':80
- 'an####travel.net':80
- 'gl###travel.net':80
- 'gl###space.net':80
- 'fo####dclose.net':80
- 'an###rspace.net':80
- 'va####sthird.net':80
- 're###nthird.net':80
- 're####station.net':80
- 'ge####childhood.net':80
- 'va####sstation.net':80
- 're####childhood.net':80
- 'fo####dspace.net':80
- 'va#####childhood.net':80
- 'va####sobject.net':80
- 're####object.net':80
- 'ne####aryspace.net':80
- 'pl####nttravel.net':80
- 'pl####ntspace.net':80
- 'di####ultclose.net':80
- 'he###close.net':80
- 'pl####ntclose.net':80
- 'ne####aryclose.net':80
- 'ne####aryyellow.net':80
- 'ne####arytravel.net':80
- 'pl####ntyellow.net':80
- 'gl###close.net':80
- 'di####ultspace.net':80
- 'an###rclose.net':80
- 'an####yellow.net':80
- 'gl###yellow.net':80
- 'di####ultyellow.net':80
- 'he###yellow.net':80
- 'he###travel.net':80
- 'he###space.net':80
- 'di####ulttravel.net':80
TCP:
Запросы HTTP GET:
- he####yellow.net/forum/search.php?em######################################
- le###rclose.net/forum/search.php?em######################################
- he####travel.net/forum/search.php?em######################################
- le####yellow.net/forum/search.php?em######################################
- he###nclose.net/forum/search.php?em######################################
- ge####yellow.net/forum/search.php?em######################################
- ge###eclose.net/forum/search.php?em######################################
- ge###espace.net/forum/search.php?em######################################
- ge####travel.net/forum/search.php?em######################################
- le####travel.net/forum/search.php?em######################################
- re####etravel.net/forum/search.php?em######################################
- or###yellow.net/forum/search.php?em######################################
- re####espace.net/forum/search.php?em######################################
- or###travel.net/forum/search.php?em######################################
- re####eyellow.net/forum/search.php?em######################################
- le###rspace.net/forum/search.php?em######################################
- he###nspace.net/forum/search.php?em######################################
- or###close.net/forum/search.php?em######################################
- re####eclose.net/forum/search.php?em######################################
- va####sspace.net/forum/search.php?em######################################
- do###dollar.net/forum/search.php?em######################################
- ag####trealize.net/forum/search.php?em######################################
- do####ritten.net/forum/search.php?em######################################
- ag####tdollar.net/forum/search.php?em######################################
- do####ealize.net/forum/search.php?em######################################
- ni####ritten.net/forum/search.php?em######################################
- de####written.net/forum/search.php?em######################################
- ni###shore.net/forum/search.php?em######################################
- de###eshore.net/forum/search.php?em######################################
- ag####twritten.net/forum/search.php?em######################################
- re####travel.net/forum/search.php?em######################################
- va####syellow.net/forum/search.php?em######################################
- re###nspace.net/forum/search.php?em######################################
- va####stravel.net/forum/search.php?em######################################
- re####yellow.net/forum/search.php?em######################################
- ag####tshore.net/forum/search.php?em######################################
- do###shore.net/forum/search.php?em######################################
- va####sclose.net/forum/search.php?em######################################
- re###nclose.net/forum/search.php?em######################################
- or###space.net/forum/search.php?em######################################
- fo####dyellow.net/forum/search.php?em######################################
- de###eclose.net/forum/search.php?em######################################
- fo####dtravel.net/forum/search.php?em######################################
- de####yellow.net/forum/search.php?em######################################
- fo####dclose.net/forum/search.php?em######################################
- an####travel.net/forum/search.php?em######################################
- gl###travel.net/forum/search.php?em######################################
- an###rspace.net/forum/search.php?em######################################
- gl###space.net/forum/search.php?em######################################
- de####travel.net/forum/search.php?em######################################
- re####station.net/forum/search.php?em######################################
- va####sthird.net/forum/search.php?em######################################
- ge####childhood.net/forum/search.php?em######################################
- va####sstation.net/forum/search.php?em######################################
- re###nthird.net/forum/search.php?em######################################
- va#####childhood.net/forum/search.php?em######################################
- fo####dspace.net/forum/search.php?em######################################
- va####sobject.net/forum/search.php?em######################################
- re####object.net/forum/search.php?em######################################
- an####yellow.net/forum/search.php?em######################################
- ne####aryspace.net/forum/search.php?em######################################
- pl####nttravel.net/forum/search.php?em######################################
- he###close.net/forum/search.php?em######################################
- pl####ntspace.net/forum/search.php?em######################################
- ne####arytravel.net/forum/search.php?em######################################
- pl####ntclose.net/forum/search.php?em######################################
- ne####aryclose.net/forum/search.php?em######################################
- pl####ntyellow.net/forum/search.php?em######################################
- ne####aryyellow.net/forum/search.php?em######################################
- di####ultclose.net/forum/search.php?em######################################
- gl###close.net/forum/search.php?em######################################
- di####ultspace.net/forum/search.php?em######################################
- gl###yellow.net/forum/search.php?em######################################
- an###rclose.net/forum/search.php?em######################################
- he###space.net/forum/search.php?em######################################
- di####ultyellow.net/forum/search.php?em######################################
- he###yellow.net/forum/search.php?em######################################
- di####ulttravel.net/forum/search.php?em######################################
- he###travel.net/forum/search.php?em######################################
UDP:
- DNS ASK he####yellow.net
- DNS ASK le###rclose.net
- DNS ASK le####yellow.net
- DNS ASK le####travel.net
- DNS ASK he####travel.net
- DNS ASK ge####yellow.net
- DNS ASK ge###eclose.net
- DNS ASK ge####travel.net
- DNS ASK he###nclose.net
- DNS ASK ge###espace.net
- DNS ASK re####etravel.net
- DNS ASK or###yellow.net
- DNS ASK or###travel.net
- DNS ASK or###space.net
- DNS ASK re####espace.net
- DNS ASK le###rspace.net
- DNS ASK he###nspace.net
- DNS ASK re####eclose.net
- DNS ASK re####eyellow.net
- DNS ASK or###close.net
- DNS ASK do###dollar.net
- DNS ASK ag####trealize.net
- DNS ASK ag####tdollar.net
- DNS ASK ag####twritten.net
- DNS ASK do####ritten.net
- DNS ASK ni####ritten.net
- DNS ASK de####written.net
- DNS ASK de###eshore.net
- DNS ASK do####ealize.net
- DNS ASK ni###shore.net
- DNS ASK re####travel.net
- DNS ASK va####syellow.net
- DNS ASK va####stravel.net
- DNS ASK va####sspace.net
- DNS ASK re###nspace.net
- DNS ASK ag####tshore.net
- DNS ASK do###shore.net
- DNS ASK re###nclose.net
- DNS ASK re####yellow.net
- DNS ASK va####sclose.net
- DNS ASK fo####dyellow.net
- DNS ASK de###eclose.net
- DNS ASK de####yellow.net
- DNS ASK de####travel.net
- DNS ASK fo####dtravel.net
- DNS ASK an####travel.net
- DNS ASK gl###travel.net
- DNS ASK gl###space.net
- DNS ASK fo####dclose.net
- DNS ASK an###rspace.net
- DNS ASK va####sthird.net
- DNS ASK re###nthird.net
- DNS ASK re####station.net
- DNS ASK ge####childhood.net
- DNS ASK va####sstation.net
- DNS ASK re####childhood.net
- DNS ASK fo####dspace.net
- DNS ASK va#####childhood.net
- DNS ASK va####sobject.net
- DNS ASK re####object.net
- DNS ASK ne####aryspace.net
- DNS ASK pl####nttravel.net
- DNS ASK pl####ntspace.net
- DNS ASK di####ultclose.net
- DNS ASK he###close.net
- DNS ASK pl####ntclose.net
- DNS ASK ne####aryclose.net
- DNS ASK ne####aryyellow.net
- DNS ASK ne####arytravel.net
- DNS ASK pl####ntyellow.net
- DNS ASK gl###close.net
- DNS ASK di####ultspace.net
- DNS ASK an###rclose.net
- DNS ASK an####yellow.net
- DNS ASK gl###yellow.net
- DNS ASK di####ultyellow.net
- DNS ASK he###yellow.net
- DNS ASK he###travel.net
- DNS ASK he###space.net
- DNS ASK di####ulttravel.net
Другое:
Ищет следующие окна:
- ClassName: 'OleMainThreadWndClass' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
