Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Application Trap PC Drive Fax Program Sharing' = '%APPDATA%\vqnysfr\wjebhoppjmn.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\vqnysfr\jgcwhrqb.exe' "%APPDATA%\vqnysfr\wjebhoppjmn.exe"
- '%APPDATA%\vqnysfr\wjebhoppjmn.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\vqnysfr\wjebhoppjmn.ta
- %APPDATA%\vqnysfr\jgcwhrqb.exe
- %APPDATA%\vqnysfr\wjebhoppjmn.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\vqnysfr\wjebhoppjmn.exe
Сетевая активность:
Подключается к:
- 'va####sbright.net':80
- 're####bright.net':80
- 're####explain.net':80
- 're####instead.net':80
- 'va####sexplain.net':80
- 'fo####dready.net':80
- 'de###ebrown.net':80
- 'de###eready.net':80
- 'va####sinside.net':80
- 're####inside.net':80
- 'va####sinstead.net':80
- 'ge####instead.net':80
- 'he####xplain.net':80
- 'he####nstead.net':80
- 'le####inside.net':80
- 'he####inside.net':80
- 'he###inside.net':80
- 'ge####inside.net':80
- 'ge####bright.net':80
- 'ge####explain.net':80
- 'he###bright.net':80
TCP:
Запросы HTTP GET:
- va####sbright.net/index.php?em################################################
- re####bright.net/index.php?em################################################
- re####explain.net/index.php?em################################################
- re####instead.net/index.php?em################################################
- va####sexplain.net/index.php?em################################################
- fo####dready.net/index.php?em################################################
- de###ebrown.net/index.php?em################################################
- de###eready.net/index.php?em################################################
- va####sinside.net/index.php?em################################################
- re####inside.net/index.php?em################################################
- va####sinstead.net/index.php?em################################################
- ge####instead.net/index.php?em################################################
- he####xplain.net/index.php?em################################################
- he####nstead.net/index.php?em################################################
- le####inside.net/index.php?em################################################
- he####inside.net/index.php?em################################################
- he###inside.net/index.php?em################################################
- ge####inside.net/index.php?em################################################
- ge####bright.net/index.php?em################################################
- ge####explain.net/index.php?em################################################
- he###bright.net/index.php?em################################################
UDP:
- DNS ASK va####sbright.net
- DNS ASK re####bright.net
- DNS ASK re####explain.net
- DNS ASK re####instead.net
- DNS ASK va####sexplain.net
- DNS ASK fo####dready.net
- DNS ASK de###ebrown.net
- DNS ASK de###eready.net
- DNS ASK va####sinside.net
- DNS ASK re####inside.net
- DNS ASK va####sinstead.net
- DNS ASK ge####instead.net
- DNS ASK he####xplain.net
- DNS ASK he####nstead.net
- DNS ASK le####inside.net
- DNS ASK he####inside.net
- DNS ASK he###inside.net
- DNS ASK ge####inside.net
- DNS ASK ge####bright.net
- DNS ASK ge####explain.net
- DNS ASK he###bright.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
