Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Authentication AutoConnect Defender' = '%APPDATA%\xouqixxpcna\kfyzqhhueh.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\xouqixxpcna\cvhnstcog.exe' "%APPDATA%\xouqixxpcna\kfyzqhhueh.exe"
- '%APPDATA%\xouqixxpcna\kfyzqhhueh.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\xouqixxpcna\kfyzqhhueh.lp
- %APPDATA%\xouqixxpcna\cvhnstcog.exe
- %APPDATA%\xouqixxpcna\kfyzqhhueh.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\xouqixxpcna\kfyzqhhueh.exe
Сетевая активность:
Подключается к:
- 'va####sbranch.net':80
- 'ge####quarter.net':80
- 'he####uarter.net':80
- 're####believe.net':80
- 'va####sbelieve.net':80
- 're####branch.net':80
- 'he####elieve.net':80
- 'ge####branch.net':80
- 'he###branch.net':80
- 'ge####receive.net':80
- 'he####eceive.net':80
- 'ge####believe.net':80
- 'de####system.net':80
- 'fo####dneither.net':80
- 'de####neither.net':80
- 'fo####dtrust.net':80
- 'de###etrust.net':80
- 'fo####dsystem.net':80
- 'va####squarter.net':80
- 're####receive.net':80
- 'va####sreceive.net':80
- 'fo####dhonor.net':80
- 'de###ehonor.net':80
- 're####quarter.net':80
- 'or###branch.net':80
- 'ne#####ryquarter.net':80
- 'pl####ntquarter.net':80
- 're####ebelieve.net':80
- 'or####elieve.net':80
- 're####ebranch.net':80
- 'pl####ntbelieve.net':80
- 'ne####arybranch.net':80
- 'pl####ntbranch.net':80
- 'ne#####ryreceive.net':80
- 'pl####ntreceive.net':80
- 'ne#####rybelieve.net':80
- 'le####receive.net':80
- 'he####believe.net':80
- 'le####believe.net':80
- 'he####quarter.net':80
- 'le####quarter.net':80
- 'he####receive.net':80
- 'or####uarter.net':80
- 're####ereceive.net':80
- 'or####eceive.net':80
- 'he####branch.net':80
- 'le####branch.net':80
- 're####equarter.net':80
TCP:
Запросы HTTP GET:
- va####sbranch.net/index.php?em#######################################
- ge####quarter.net/index.php?em#######################################
- he####uarter.net/index.php?em#######################################
- re####believe.net/index.php?em#######################################
- va####sbelieve.net/index.php?em#######################################
- re####branch.net/index.php?em#######################################
- he####elieve.net/index.php?em#######################################
- ge####branch.net/index.php?em#######################################
- he###branch.net/index.php?em#######################################
- ge####receive.net/index.php?em#######################################
- he####eceive.net/index.php?em#######################################
- ge####believe.net/index.php?em#######################################
- de####system.net/index.php?em#######################################
- fo####dneither.net/index.php?em#######################################
- de####neither.net/index.php?em#######################################
- fo####dtrust.net/index.php?em#######################################
- de###etrust.net/index.php?em#######################################
- fo####dsystem.net/index.php?em#######################################
- va####squarter.net/index.php?em#######################################
- re####receive.net/index.php?em#######################################
- va####sreceive.net/index.php?em#######################################
- fo####dhonor.net/index.php?em#######################################
- de###ehonor.net/index.php?em#######################################
- re####quarter.net/index.php?em#######################################
- or###branch.net/index.php?em#######################################
- ne#####ryquarter.net/index.php?em#######################################
- pl####ntquarter.net/index.php?em#######################################
- re####ebelieve.net/index.php?em#######################################
- or####elieve.net/index.php?em#######################################
- re####ebranch.net/index.php?em#######################################
- pl####ntbelieve.net/index.php?em#######################################
- ne####arybranch.net/index.php?em#######################################
- pl####ntbranch.net/index.php?em#######################################
- ne#####ryreceive.net/index.php?em#######################################
- pl####ntreceive.net/index.php?em#######################################
- ne#####rybelieve.net/index.php?em#######################################
- le####receive.net/index.php?em#######################################
- he####believe.net/index.php?em#######################################
- le####believe.net/index.php?em#######################################
- he####quarter.net/index.php?em#######################################
- le####quarter.net/index.php?em#######################################
- he####receive.net/index.php?em#######################################
- or####uarter.net/index.php?em#######################################
- re####ereceive.net/index.php?em#######################################
- or####eceive.net/index.php?em#######################################
- he####branch.net/index.php?em#######################################
- le####branch.net/index.php?em#######################################
- re####equarter.net/index.php?em#######################################
UDP:
- DNS ASK re####branch.net
- DNS ASK va####sbranch.net
- DNS ASK ge####quarter.net
- DNS ASK va####sreceive.net
- DNS ASK re####believe.net
- DNS ASK va####sbelieve.net
- DNS ASK ge####believe.net
- DNS ASK he####elieve.net
- DNS ASK ge####branch.net
- DNS ASK he####uarter.net
- DNS ASK ge####receive.net
- DNS ASK he####eceive.net
- DNS ASK fo####dsystem.net
- DNS ASK de####system.net
- DNS ASK fo####dneither.net
- DNS ASK an###rhonor.net
- DNS ASK fo####dtrust.net
- DNS ASK de###etrust.net
- DNS ASK re####quarter.net
- DNS ASK va####squarter.net
- DNS ASK re####receive.net
- DNS ASK de####neither.net
- DNS ASK fo####dhonor.net
- DNS ASK de###ehonor.net
- DNS ASK he###branch.net
- DNS ASK or###branch.net
- DNS ASK ne#####ryquarter.net
- DNS ASK pl####ntquarter.net
- DNS ASK re####ebelieve.net
- DNS ASK or####elieve.net
- DNS ASK re####ebranch.net
- DNS ASK pl####ntbelieve.net
- DNS ASK ne####arybranch.net
- DNS ASK pl####ntbranch.net
- DNS ASK ne#####ryreceive.net
- DNS ASK pl####ntreceive.net
- DNS ASK ne#####rybelieve.net
- DNS ASK le####receive.net
- DNS ASK he####believe.net
- DNS ASK le####believe.net
- DNS ASK he####quarter.net
- DNS ASK le####quarter.net
- DNS ASK he####receive.net
- DNS ASK or####uarter.net
- DNS ASK re####ereceive.net
- DNS ASK or####eceive.net
- DNS ASK he####branch.net
- DNS ASK le####branch.net
- DNS ASK re####equarter.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
