Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'AutoConnect Error Update TP Topology SPP' = '%APPDATA%\toonlfa\lkxqre.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\toonlfa\yvdsu89va.exe' "%APPDATA%\toonlfa\lkxqre.exe"
- '%APPDATA%\toonlfa\lkxqre.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\toonlfa\lkxqre.jejy
- %APPDATA%\toonlfa\yvdsu89va.exe
- %APPDATA%\toonlfa\lkxqre.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\toonlfa\lkxqre.exe
Сетевая активность:
Подключается к:
- 'se#####understood.net':80
- 'ma#####lunderstood.net':80
- 'ma####altwenty.net':80
- 'ma####almeeting.net':80
- 'se####ltwenty.net':80
- 'la###train.net':80
- 'se#####lectricity.net':80
- 'se###atrain.net':80
- 'se####borrow.net':80
- 'la###borrow.net':80
- 'se####lmeeting.net':80
- 'pr####lymeeting.net':80
- 'sw###twenty.net':80
- 'sw####eeting.net':80
- 'sw###chance.net':80
- 'pr####lychance.net':80
- 'se####lchance.net':80
- 'ma####alchance.net':80
- 'pr#####yunderstood.net':80
- 'pr####lytwenty.net':80
- 'sw####nderstood.net':80
TCP:
Запросы HTTP GET:
- se#####understood.net/index.php?em#########################################
- ma#####lunderstood.net/index.php?em#########################################
- ma####altwenty.net/index.php?em#########################################
- ma####almeeting.net/index.php?em#########################################
- se####ltwenty.net/index.php?em#########################################
- la###train.net/index.php?em#########################################
- se#####lectricity.net/index.php?em#########################################
- se###atrain.net/index.php?em#########################################
- se####borrow.net/index.php?em#########################################
- la###borrow.net/index.php?em#########################################
- se####lmeeting.net/index.php?em#########################################
- pr####lymeeting.net/index.php?em#########################################
- sw###twenty.net/index.php?em#########################################
- sw####eeting.net/index.php?em#########################################
- sw###chance.net/index.php?em#########################################
- pr####lychance.net/index.php?em#########################################
- se####lchance.net/index.php?em#########################################
- ma####alchance.net/index.php?em#########################################
- pr#####yunderstood.net/index.php?em#########################################
- pr####lytwenty.net/index.php?em#########################################
- sw####nderstood.net/index.php?em#########################################
UDP:
- DNS ASK se#####understood.net
- DNS ASK ma#####lunderstood.net
- DNS ASK ma####altwenty.net
- DNS ASK ma####almeeting.net
- DNS ASK se####ltwenty.net
- DNS ASK se####borrow.net
- DNS ASK se#####lectricity.net
- DNS ASK la#####ectricity.net
- DNS ASK la###train.net
- DNS ASK la###borrow.net
- DNS ASK se###atrain.net
- DNS ASK pr####lymeeting.net
- DNS ASK sw###twenty.net
- DNS ASK sw####eeting.net
- DNS ASK sw###chance.net
- DNS ASK pr####lychance.net
- DNS ASK pr####lytwenty.net
- DNS ASK ma####alchance.net
- DNS ASK se####lmeeting.net
- DNS ASK se####lchance.net
- DNS ASK sw####nderstood.net
- DNS ASK pr#####yunderstood.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
