Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Office Bus Window Notification' = '%APPDATA%\fxresy3s\xjauwit.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\fxresy3s\xdyojoeltvnz.exe' "%APPDATA%\fxresy3s\xjauwit.exe"
- '%APPDATA%\fxresy3s\xjauwit.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\fxresy3s\xjauwit.jxf
- %APPDATA%\fxresy3s\xdyojoeltvnz.exe
- %APPDATA%\fxresy3s\xjauwit.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\fxresy3s\xjauwit.exe
Сетевая активность:
Подключается к:
- 'fi####orderly.net':80
- 'le####rderly.net':80
- 'le###reason.net':80
- 'le###almost.net':80
- 'fi####reason.net':80
- 'fi###hvalue.net':80
- 'sw###reason.net':80
- 'pr####lyreason.net':80
- 'pr####lyalmost.net':80
- 'le###value.net':80
- 'sw###almost.net':80
- 'fi####almost.net':80
- 'wi###wvalue.net':80
- 'wi####almost.net':80
- 'pe####svalue.net':80
- 'pe####sorderly.net':80
- 'wi####orderly.net':80
- 'su####talmost.net':80
- 'wi###rvalue.net':80
- 'su####tvalue.net':80
- 'su####torderly.net':80
- 'wi####reason.net':80
- 'su####treason.net':80
TCP:
Запросы HTTP GET:
- fi####orderly.net/index.php?em##########################################
- le####rderly.net/index.php?em##########################################
- le###reason.net/index.php?em##########################################
- le###almost.net/index.php?em##########################################
- fi####reason.net/index.php?em##########################################
- fi###hvalue.net/index.php?em##########################################
- sw###reason.net/index.php?em##########################################
- pr####lyreason.net/index.php?em##########################################
- pr####lyalmost.net/index.php?em##########################################
- le###value.net/index.php?em##########################################
- sw###almost.net/index.php?em##########################################
- fi####almost.net/index.php?em##########################################
- wi###wvalue.net/index.php?em##########################################
- wi####almost.net/index.php?em##########################################
- pe####svalue.net/index.php?em##########################################
- pe####sorderly.net/index.php?em##########################################
- wi####orderly.net/index.php?em##########################################
- su####talmost.net/index.php?em##########################################
- wi###rvalue.net/index.php?em##########################################
- su####tvalue.net/index.php?em##########################################
- su####torderly.net/index.php?em##########################################
- wi####reason.net/index.php?em##########################################
- su####treason.net/index.php?em##########################################
UDP:
- DNS ASK fi####orderly.net
- DNS ASK le####rderly.net
- DNS ASK fi###hvalue.net
- DNS ASK le###almost.net
- DNS ASK fi####reason.net
- DNS ASK le###reason.net
- DNS ASK sw###reason.net
- DNS ASK pr####lyreason.net
- DNS ASK sw####rderly.net
- DNS ASK le###value.net
- DNS ASK sw###almost.net
- DNS ASK pr####lyalmost.net
- DNS ASK wi###wvalue.net
- DNS ASK wi####almost.net
- DNS ASK su####talmost.net
- DNS ASK pe####sorderly.net
- DNS ASK wi####orderly.net
- DNS ASK pe####svalue.net
- DNS ASK wi###rvalue.net
- DNS ASK su####tvalue.net
- DNS ASK fi####almost.net
- DNS ASK wi####reason.net
- DNS ASK su####treason.net
- DNS ASK su####torderly.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
