Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Parental TPM Awareness Proxy Studio' = '%APPDATA%\ipejabmvctdnap\ikglhppz.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ipejabmvctdnap\qtcjwhsdxim.exe' "%APPDATA%\ipejabmvctdnap\ikglhppz.exe"
- '%APPDATA%\ipejabmvctdnap\ikglhppz.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ipejabmvctdnap\ikglhppz.z1a
- %APPDATA%\ipejabmvctdnap\qtcjwhsdxim.exe
- %APPDATA%\ipejabmvctdnap\ikglhppz.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ipejabmvctdnap\ikglhppz.exe
Сетевая активность:
Подключается к:
- 'fi###afraid.net':80
- 'pa###afraid.net':80
- 'fi###circle.net':80
- 'pa###circle.net':80
- 'fi###dinner.net':80
- 'pa####easure.net':80
- 'sm###circle.net':80
- 'pa###dinner.net':80
- 'fi####easure.net':80
- 'fr###forest.net':80
- 'ex#####ncealways.net':80
- 'ge####manwheat.net':80
- 'ex#####nceforest.net':80
- 'fr###always.net':80
- 'ex####encewheat.net':80
- 'fr###wheat.net':80
- 'ex####enceanger.net':80
- 'fr###anger.net':80
- 'wa###dinner.net':80
- 'th####tdinner.net':80
- 'wa###afraid.net':80
- 'th####tafraid.net':80
- 'wa####easure.net':80
- 'su####circle.net':80
- 'cr###afraid.net':80
- 'th####tmeasure.net':80
- 'cr###circle.net':80
- 'wo###afraid.net':80
- 'sm###dinner.net':80
- 'wo###circle.net':80
- 'sm###afraid.net':80
- 'wo###dinner.net':80
- 'wa###circle.net':80
- 'th####tcircle.net':80
- 'sm####easure.net':80
- 'wo####easure.net':80
TCP:
Запросы HTTP GET:
- fi###afraid.net/index.php?em######################################
- pa###afraid.net/index.php?em######################################
- fi###circle.net/index.php?em######################################
- pa###circle.net/index.php?em######################################
- fi###dinner.net/index.php?em######################################
- pa####easure.net/index.php?em######################################
- sm###circle.net/index.php?em######################################
- pa###dinner.net/index.php?em######################################
- fi####easure.net/index.php?em######################################
- fr###forest.net/index.php?em######################################
- ex#####ncealways.net/index.php?em######################################
- ge####manwheat.net/index.php?em######################################
- ex#####nceforest.net/index.php?em######################################
- fr###always.net/index.php?em######################################
- ex####encewheat.net/index.php?em######################################
- fr###wheat.net/index.php?em######################################
- ex####enceanger.net/index.php?em######################################
- fr###anger.net/index.php?em######################################
- wa###dinner.net/index.php?em######################################
- th####tdinner.net/index.php?em######################################
- wa###afraid.net/index.php?em######################################
- th####tafraid.net/index.php?em######################################
- wa####easure.net/index.php?em######################################
- su####circle.net/index.php?em######################################
- cr###afraid.net/index.php?em######################################
- th####tmeasure.net/index.php?em######################################
- cr###circle.net/index.php?em######################################
- wo###afraid.net/index.php?em######################################
- sm###dinner.net/index.php?em######################################
- wo###circle.net/index.php?em######################################
- sm###afraid.net/index.php?em######################################
- wo###dinner.net/index.php?em######################################
- wa###circle.net/index.php?em######################################
- th####tcircle.net/index.php?em######################################
- sm####easure.net/index.php?em######################################
- wo####easure.net/index.php?em######################################
UDP:
- DNS ASK fi###afraid.net
- DNS ASK pa###afraid.net
- DNS ASK fi###circle.net
- DNS ASK pa###circle.net
- DNS ASK fi###dinner.net
- DNS ASK pa####easure.net
- DNS ASK sm###circle.net
- DNS ASK pa###dinner.net
- DNS ASK fi####easure.net
- DNS ASK fr###forest.net
- DNS ASK ex#####ncealways.net
- DNS ASK ge####manwheat.net
- DNS ASK ex#####nceforest.net
- DNS ASK fr###always.net
- DNS ASK ex####encewheat.net
- DNS ASK fr###wheat.net
- DNS ASK ex####enceanger.net
- DNS ASK fr###anger.net
- DNS ASK wa###dinner.net
- DNS ASK th####tdinner.net
- DNS ASK wa###afraid.net
- DNS ASK th####tafraid.net
- DNS ASK wa####easure.net
- DNS ASK su####circle.net
- DNS ASK cr###afraid.net
- DNS ASK th####tmeasure.net
- DNS ASK cr###circle.net
- DNS ASK wo###afraid.net
- DNS ASK sm###dinner.net
- DNS ASK wo###circle.net
- DNS ASK sm###afraid.net
- DNS ASK wo###dinner.net
- DNS ASK wa###circle.net
- DNS ASK th####tcircle.net
- DNS ASK sm####easure.net
- DNS ASK wo####easure.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
