Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Transfer Tracking Fax IPsec Cache' = '%APPDATA%\jyjmxpfv\ccivapoturk.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\jyjmxpfv\kbaeqqsi.exe' "%APPDATA%\jyjmxpfv\ccivapoturk.exe"
- '%APPDATA%\jyjmxpfv\ccivapoturk.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\jyjmxpfv\ccivapoturk.pkp
- %APPDATA%\jyjmxpfv\kbaeqqsi.exe
- %APPDATA%\jyjmxpfv\ccivapoturk.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\jyjmxpfv\ccivapoturk.exe
Сетевая активность:
Подключается к:
- 'or###period.net':80
- 're####eperiod.net':80
- 're####ealthough.net':80
- 're####echoose.net':80
- 'or####lthough.net':80
- 'or####owever.net':80
- 'le####although.net':80
- 'he####although.net':80
- 'he####choose.net':80
- 're####ehowever.net':80
- 'le####choose.net':80
- 'ne####arychoose.net':80
- 'pl#####talthough.net':80
- 'pl####ntchoose.net':80
- 'di#####lthowever.net':80
- 'he####owever.net':80
- 'ne#####ryalthough.net':80
- 'ne#####ryhowever.net':80
- 'or###choose.net':80
- 'pl####nthowever.net':80
- 'pl####ntperiod.net':80
- 'ne####aryperiod.net':80
TCP:
Запросы HTTP GET:
- or###period.net/index.php?em##########################################
- re####eperiod.net/index.php?em##########################################
- re####ealthough.net/index.php?em##########################################
- re####echoose.net/index.php?em##########################################
- or####lthough.net/index.php?em##########################################
- or####owever.net/index.php?em##########################################
- le####although.net/index.php?em##########################################
- he####although.net/index.php?em##########################################
- he####choose.net/index.php?em##########################################
- re####ehowever.net/index.php?em##########################################
- le####choose.net/index.php?em##########################################
- ne####arychoose.net/index.php?em##########################################
- pl#####talthough.net/index.php?em##########################################
- pl####ntchoose.net/index.php?em##########################################
- di#####lthowever.net/index.php?em##########################################
- he####owever.net/index.php?em##########################################
- ne#####ryalthough.net/index.php?em##########################################
- ne#####ryhowever.net/index.php?em##########################################
- or###choose.net/index.php?em##########################################
- pl####nthowever.net/index.php?em##########################################
- pl####ntperiod.net/index.php?em##########################################
- ne####aryperiod.net/index.php?em##########################################
UDP:
- DNS ASK or###period.net
- DNS ASK re####eperiod.net
- DNS ASK re####ealthough.net
- DNS ASK re####echoose.net
- DNS ASK or####lthough.net
- DNS ASK or####owever.net
- DNS ASK le####although.net
- DNS ASK he####although.net
- DNS ASK he####choose.net
- DNS ASK re####ehowever.net
- DNS ASK le####choose.net
- DNS ASK ne####arychoose.net
- DNS ASK pl#####talthough.net
- DNS ASK pl####ntchoose.net
- DNS ASK di#####lthowever.net
- DNS ASK he####owever.net
- DNS ASK ne#####ryalthough.net
- DNS ASK ne#####ryhowever.net
- DNS ASK or###choose.net
- DNS ASK pl####nthowever.net
- DNS ASK pl####ntperiod.net
- DNS ASK ne####aryperiod.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
