Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Window Extensible Location Modules' = '%APPDATA%\ainvgwmqnhjrxfn\tdqwwoarryb.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ainvgwmqnhjrxfn\pjelrzkn.exe' "%APPDATA%\ainvgwmqnhjrxfn\tdqwwoarryb.exe"
- '%APPDATA%\ainvgwmqnhjrxfn\tdqwwoarryb.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ainvgwmqnhjrxfn\tdqwwoarryb.tvq
- %APPDATA%\ainvgwmqnhjrxfn\pjelrzkn.exe
- %APPDATA%\ainvgwmqnhjrxfn\tdqwwoarryb.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ainvgwmqnhjrxfn\tdqwwoarryb.exe
Сетевая активность:
Подключается к:
- 'hu####dstream.net':80
- 'jo####ystream.net':80
- 'jo####ynothing.net':80
- 'jo####ybottle.net':80
- 'hu####dnothing.net':80
- 're####erwomen.net':80
- 're####erpaint.net':80
- 'wo###paint.net':80
- 'wo###course.net':80
- 'wo###women.net':80
- 're####ercourse.net':80
- 'hu####dbottle.net':80
- 'li####bottle.net':80
- 'de####ybottle.net':80
- 'de####ydivide.net':80
- 'ri####stream.net':80
- 'li####divide.net':80
- 'li####nothing.net':80
- 'hu####ddivide.net':80
- 'jo####ydivide.net':80
- 'de####ystream.net':80
- 'de####ynothing.net':80
- 'li####stream.net':80
- 'ef###tpaint.net':80
- 'th####hclean.net':80
- 'th####hpaint.net':80
- 'th####hcourse.net':80
- 'ef####course.net':80
- 'ef###tclean.net':80
- 'wi####course.net':80
- 'su###rpaint.net':80
- 'su####course.net':80
- 'su###rwomen.net':80
- 'wi###nwomen.net':80
- 'ef###twomen.net':80
- 'fo###twomen.net':80
- 'in####secourse.net':80
- 'in####sewomen.net':80
- 're####erclean.net':80
- 'wo###clean.net':80
- 'fo####course.net':80
- 'fo###tclean.net':80
- 'th####hwomen.net':80
- 'in####seclean.net':80
- 'in####sepaint.net':80
- 'fo###tpaint.net':80
TCP:
Запросы HTTP GET:
- hu####dstream.net/index.php?em##########################################
- jo####ystream.net/index.php?em##########################################
- jo####ynothing.net/index.php?em##########################################
- jo####ybottle.net/index.php?em##########################################
- hu####dnothing.net/index.php?em##########################################
- re####erwomen.net/index.php?em##########################################
- re####erpaint.net/index.php?em##########################################
- wo###paint.net/index.php?em##########################################
- wo###course.net/index.php?em##########################################
- wo###women.net/index.php?em##########################################
- re####ercourse.net/index.php?em##########################################
- hu####dbottle.net/index.php?em##########################################
- li####bottle.net/index.php?em##########################################
- de####ybottle.net/index.php?em##########################################
- de####ydivide.net/index.php?em##########################################
- ri####stream.net/index.php?em##########################################
- li####divide.net/index.php?em##########################################
- li####nothing.net/index.php?em##########################################
- hu####ddivide.net/index.php?em##########################################
- jo####ydivide.net/index.php?em##########################################
- de####ystream.net/index.php?em##########################################
- de####ynothing.net/index.php?em##########################################
- li####stream.net/index.php?em##########################################
- ef###tpaint.net/index.php?em##########################################
- th####hclean.net/index.php?em##########################################
- th####hpaint.net/index.php?em##########################################
- th####hcourse.net/index.php?em##########################################
- ef####course.net/index.php?em##########################################
- ef###tclean.net/index.php?em##########################################
- wi####course.net/index.php?em##########################################
- su###rpaint.net/index.php?em##########################################
- su####course.net/index.php?em##########################################
- su###rwomen.net/index.php?em##########################################
- wi###nwomen.net/index.php?em##########################################
- ef###twomen.net/index.php?em##########################################
- fo###twomen.net/index.php?em##########################################
- in####secourse.net/index.php?em##########################################
- in####sewomen.net/index.php?em##########################################
- re####erclean.net/index.php?em##########################################
- wo###clean.net/index.php?em##########################################
- fo####course.net/index.php?em##########################################
- fo###tclean.net/index.php?em##########################################
- th####hwomen.net/index.php?em##########################################
- in####seclean.net/index.php?em##########################################
- in####sepaint.net/index.php?em##########################################
- fo###tpaint.net/index.php?em##########################################
UDP:
- DNS ASK jo####ynothing.net
- DNS ASK hu####dstream.net
- DNS ASK hu####dnothing.net
- DNS ASK hu####dbottle.net
- DNS ASK jo####ybottle.net
- DNS ASK jo####ystream.net
- DNS ASK wo###course.net
- DNS ASK re####erpaint.net
- DNS ASK re####ercourse.net
- DNS ASK re####erwomen.net
- DNS ASK wo###women.net
- DNS ASK jo####ydivide.net
- DNS ASK de####ydivide.net
- DNS ASK li####bottle.net
- DNS ASK li####divide.net
- DNS ASK be####stream.net
- DNS ASK ri####stream.net
- DNS ASK de####ybottle.net
- DNS ASK de####ystream.net
- DNS ASK hu####ddivide.net
- DNS ASK li####stream.net
- DNS ASK li####nothing.net
- DNS ASK de####ynothing.net
- DNS ASK wo###paint.net
- DNS ASK ef###tpaint.net
- DNS ASK th####hclean.net
- DNS ASK th####hpaint.net
- DNS ASK th####hcourse.net
- DNS ASK ef####course.net
- DNS ASK ef###tclean.net
- DNS ASK wi####course.net
- DNS ASK su###rpaint.net
- DNS ASK su####course.net
- DNS ASK su###rwomen.net
- DNS ASK wi###nwomen.net
- DNS ASK ef###twomen.net
- DNS ASK fo###twomen.net
- DNS ASK in####secourse.net
- DNS ASK in####sewomen.net
- DNS ASK re####erclean.net
- DNS ASK wo###clean.net
- DNS ASK fo####course.net
- DNS ASK fo###tclean.net
- DNS ASK th####hwomen.net
- DNS ASK in####seclean.net
- DNS ASK in####sepaint.net
- DNS ASK fo###tpaint.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
