Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Drive Trap Application Identity Tools' = '%APPDATA%\gzmt5hl0lwcc\io9wxmukdrii.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\gzmt5hl0lwcc\jfkmna8.exe' "%APPDATA%\gzmt5hl0lwcc\io9wxmukdrii.exe"
- '%APPDATA%\gzmt5hl0lwcc\io9wxmukdrii.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\gzmt5hl0lwcc\io9wxmukdrii.eke
- %APPDATA%\gzmt5hl0lwcc\jfkmna8.exe
- %APPDATA%\gzmt5hl0lwcc\io9wxmukdrii.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\gzmt5hl0lwcc\io9wxmukdrii.exe
Сетевая активность:
Подключается к:
- 'ge####yellow.net':80
- 'he###close.net':80
- 'ge###eclose.net':80
- 'he###travel.net':80
- 'ge####travel.net':80
- 'he###yellow.net':80
- 'va####sspace.net':80
- 'va####syellow.net':80
- 're####yellow.net':80
- 'va####sclose.net':80
- 're###nspace.net':80
- 'va####stravel.net':80
- 're####travel.net':80
- 'ge###espace.net':80
- 're####eclose.net':80
- 'le###rspace.net':80
- 'he###nspace.net':80
- 'or###yellow.net':80
- 're####eyellow.net':80
- 'or###close.net':80
- 'le####travel.net':80
- 'le###rclose.net':80
- 'he###nclose.net':80
- 'he###space.net':80
- 'he####travel.net':80
- 'le####yellow.net':80
- 'he####yellow.net':80
TCP:
Запросы HTTP GET:
- ge####yellow.net/index.php?em#########################################
- he###close.net/index.php?em#########################################
- ge###eclose.net/index.php?em#########################################
- he###travel.net/index.php?em#########################################
- ge####travel.net/index.php?em#########################################
- he###yellow.net/index.php?em#########################################
- va####sspace.net/index.php?em#########################################
- va####syellow.net/index.php?em#########################################
- re####yellow.net/index.php?em#########################################
- va####sclose.net/index.php?em#########################################
- re###nspace.net/index.php?em#########################################
- va####stravel.net/index.php?em#########################################
- re####travel.net/index.php?em#########################################
- ge###espace.net/index.php?em#########################################
- re####eclose.net/index.php?em#########################################
- le###rspace.net/index.php?em#########################################
- he###nspace.net/index.php?em#########################################
- or###yellow.net/index.php?em#########################################
- re####eyellow.net/index.php?em#########################################
- or###close.net/index.php?em#########################################
- le####travel.net/index.php?em#########################################
- le###rclose.net/index.php?em#########################################
- he###nclose.net/index.php?em#########################################
- he###space.net/index.php?em#########################################
- he####travel.net/index.php?em#########################################
- le####yellow.net/index.php?em#########################################
- he####yellow.net/index.php?em#########################################
UDP:
- DNS ASK he###close.net
- DNS ASK ge###eclose.net
- DNS ASK va####sspace.net
- DNS ASK ge####yellow.net
- DNS ASK he###travel.net
- DNS ASK ge####travel.net
- DNS ASK he###yellow.net
- DNS ASK re####yellow.net
- DNS ASK va####sclose.net
- DNS ASK re###nclose.net
- DNS ASK va####syellow.net
- DNS ASK re###nspace.net
- DNS ASK va####stravel.net
- DNS ASK re####travel.net
- DNS ASK le###rspace.net
- DNS ASK he###nspace.net
- DNS ASK le####travel.net
- DNS ASK re####eclose.net
- DNS ASK or###yellow.net
- DNS ASK re####eyellow.net
- DNS ASK or###close.net
- DNS ASK he###nclose.net
- DNS ASK he###space.net
- DNS ASK ge###espace.net
- DNS ASK le###rclose.net
- DNS ASK he####travel.net
- DNS ASK le####yellow.net
- DNS ASK he####yellow.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
