Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Keying TP Modules Isolation' = '%APPDATA%\qxdovzjkahy\nlvajrzmpbok.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\qxdovzjkahy\bpuvedw.exe' "%APPDATA%\qxdovzjkahy\nlvajrzmpbok.exe"
- '%APPDATA%\qxdovzjkahy\nlvajrzmpbok.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\qxdovzjkahy\nlvajrzmpbok.uygqk
- %APPDATA%\qxdovzjkahy\bpuvedw.exe
- %APPDATA%\qxdovzjkahy\nlvajrzmpbok.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\qxdovzjkahy\nlvajrzmpbok.exe
Сетевая активность:
Подключается к:
- 'fo####dappear.net':80
- 'an####manner.net':80
- 'de####appear.net':80
- 'de####business.net':80
- 'fo####dbusiness.net':80
- 'gl###manner.net':80
- 'gl####usiness.net':80
- 'an####appear.net':80
- 'an####business.net':80
- 'an####another.net':80
- 'gl####nother.net':80
- 'va####sbottle.net':80
- 're####bottle.net':80
- 're####nothing.net':80
- 're####stream.net':80
- 'va####snothing.net':80
- 'va####sdivide.net':80
- 'de####another.net':80
- 'fo####danother.net':80
- 'fo####dmanner.net':80
- 're####divide.net':80
- 'de####manner.net':80
TCP:
Запросы HTTP GET:
- fo####dappear.net/index.php?em######################################
- an####manner.net/index.php?em######################################
- de####appear.net/index.php?em######################################
- de####business.net/index.php?em######################################
- fo####dbusiness.net/index.php?em######################################
- gl###manner.net/index.php?em######################################
- gl####usiness.net/index.php?em######################################
- an####appear.net/index.php?em######################################
- an####business.net/index.php?em######################################
- an####another.net/index.php?em######################################
- gl####nother.net/index.php?em######################################
- va####sbottle.net/index.php?em######################################
- re####bottle.net/index.php?em######################################
- re####nothing.net/index.php?em######################################
- re####stream.net/index.php?em######################################
- va####snothing.net/index.php?em######################################
- va####sdivide.net/index.php?em######################################
- de####another.net/index.php?em######################################
- fo####danother.net/index.php?em######################################
- fo####dmanner.net/index.php?em######################################
- re####divide.net/index.php?em######################################
- de####manner.net/index.php?em######################################
UDP:
- DNS ASK fo####dappear.net
- DNS ASK an####manner.net
- DNS ASK de####appear.net
- DNS ASK de####business.net
- DNS ASK fo####dbusiness.net
- DNS ASK gl###manner.net
- DNS ASK gl####usiness.net
- DNS ASK an####appear.net
- DNS ASK an####business.net
- DNS ASK an####another.net
- DNS ASK gl####nother.net
- DNS ASK va####sbottle.net
- DNS ASK re####bottle.net
- DNS ASK re####nothing.net
- DNS ASK re####stream.net
- DNS ASK va####snothing.net
- DNS ASK va####sdivide.net
- DNS ASK de####another.net
- DNS ASK fo####danother.net
- DNS ASK fo####dmanner.net
- DNS ASK re####divide.net
- DNS ASK de####manner.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
