Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Firewall Distributed COM' = '%APPDATA%\ckrcoifrhg\bmseqqglradg.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ckrcoifrhg\lesghawz.exe' "%APPDATA%\ckrcoifrhg\bmseqqglradg.exe"
- '%APPDATA%\ckrcoifrhg\bmseqqglradg.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ckrcoifrhg\bmseqqglradg.jid
- %APPDATA%\ckrcoifrhg\lesghawz.exe
- %APPDATA%\ckrcoifrhg\bmseqqglradg.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ckrcoifrhg\bmseqqglradg.exe
Сетевая активность:
Подключается к:
- 'he###eearly.net':80
- 'ge###ecatch.net':80
- 'he###public.net':80
- 'ge####eearly.net':80
- 'le###rdress.net':80
- 'he####public.net':80
- 'he###catch.net':80
- 'he###ndress.net':80
- 'ge####public.net':80
- 're####eearly.net':80
- 'va####seearly.net':80
- 're####public.net':80
- 'va####spublic.net':80
- 'ge###edress.net':80
- 'he###dress.net':80
- 're###ncatch.net':80
- 'va####scatch.net':80
- 're####ecatch.net':80
- 'or###catch.net':80
- 're####eeearly.net':80
- 'or###eearly.net':80
- 'ne####arypublic.net':80
- 'pl####ntpublic.net':80
- 'ne####arydress.net':80
- 'pl####ntdress.net':80
- 'or###public.net':80
- 'le####eearly.net':80
- 'he###ncatch.net':80
- 'le####public.net':80
- 'he####eearly.net':80
- 'or###dress.net':80
- 're####epublic.net':80
- 'le###rcatch.net':80
- 're####edress.net':80
TCP:
Запросы HTTP GET:
- he###eearly.net/index.php?em########################################
- ge###ecatch.net/index.php?em########################################
- he###public.net/index.php?em########################################
- ge####eearly.net/index.php?em########################################
- le###rdress.net/index.php?em########################################
- he####public.net/index.php?em########################################
- he###catch.net/index.php?em########################################
- he###ndress.net/index.php?em########################################
- ge####public.net/index.php?em########################################
- re####eearly.net/index.php?em########################################
- va####seearly.net/index.php?em########################################
- re####public.net/index.php?em########################################
- va####spublic.net/index.php?em########################################
- ge###edress.net/index.php?em########################################
- he###dress.net/index.php?em########################################
- re###ncatch.net/index.php?em########################################
- va####scatch.net/index.php?em########################################
- re####ecatch.net/index.php?em########################################
- or###catch.net/index.php?em########################################
- re####eeearly.net/index.php?em########################################
- or###eearly.net/index.php?em########################################
- ne####arypublic.net/index.php?em########################################
- pl####ntpublic.net/index.php?em########################################
- ne####arydress.net/index.php?em########################################
- pl####ntdress.net/index.php?em########################################
- or###public.net/index.php?em########################################
- le####eearly.net/index.php?em########################################
- he###ncatch.net/index.php?em########################################
- le####public.net/index.php?em########################################
- he####eearly.net/index.php?em########################################
- or###dress.net/index.php?em########################################
- re####epublic.net/index.php?em########################################
- le###rcatch.net/index.php?em########################################
- re####edress.net/index.php?em########################################
UDP:
- DNS ASK ge####eearly.net
- DNS ASK he###eearly.net
- DNS ASK ge####public.net
- DNS ASK he###public.net
- DNS ASK he###ndress.net
- DNS ASK le###rdress.net
- DNS ASK ge###ecatch.net
- DNS ASK he###catch.net
- DNS ASK he###dress.net
- DNS ASK va####spublic.net
- DNS ASK re####eearly.net
- DNS ASK va####sdress.net
- DNS ASK re####public.net
- DNS ASK va####scatch.net
- DNS ASK ge###edress.net
- DNS ASK va####seearly.net
- DNS ASK re###ncatch.net
- DNS ASK he####public.net
- DNS ASK re####ecatch.net
- DNS ASK or###catch.net
- DNS ASK re####eeearly.net
- DNS ASK or###eearly.net
- DNS ASK ne####arypublic.net
- DNS ASK pl####ntpublic.net
- DNS ASK ne####arydress.net
- DNS ASK pl####ntdress.net
- DNS ASK or###public.net
- DNS ASK le####eearly.net
- DNS ASK he###ncatch.net
- DNS ASK le####public.net
- DNS ASK he####eearly.net
- DNS ASK or###dress.net
- DNS ASK re####epublic.net
- DNS ASK le###rcatch.net
- DNS ASK re####edress.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
