Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Card Reports Accounts Desktop Socket User' = '%APPDATA%\ivyydnpbddvitl\pqokgpin.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ivyydnpbddvitl\emerqdlor.exe' "%APPDATA%\ivyydnpbddvitl\pqokgpin.exe"
- '%APPDATA%\ivyydnpbddvitl\pqokgpin.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ivyydnpbddvitl\pqokgpin.cj2
- %APPDATA%\ivyydnpbddvitl\emerqdlor.exe
- %APPDATA%\ivyydnpbddvitl\pqokgpin.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ivyydnpbddvitl\pqokgpin.exe
Сетевая активность:
Подключается к:
- 'he###people.net':80
- 'di####ultpeople.net':80
- 'he####aughter.net':80
- 'di#####ltdaughter.net':80
- 'he###ready.net':80
- 'di####ultready.net':80
- 'he###brown.net':80
- 'di####ultbrown.net':80
- 'ne####arypeople.net':80
- 'pl####ntpeople.net':80
- 'ne#####rydaughter.net':80
- 'pl#####tdaughter.net':80
- 'ne####aryready.net':80
- 'pl####ntready.net':80
- 'ne####arybrown.net':80
- 'pl####ntbrown.net':80
- 'fo####dpeople.net':80
- 'de####people.net':80
- 'fo####ddaughter.net':80
- 'de####daughter.net':80
- 'fo####dready.net':80
- 'de###eready.net':80
- 'fo####dbrown.net':80
- 'de###ebrown.net':80
- 'gl###people.net':80
- 'an####people.net':80
- 'gl####aughter.net':80
- 'an####daughter.net':80
- 'gl###ready.net':80
- 'an###rready.net':80
- 'gl###brown.net':80
- 'an###rbrown.net':80
TCP:
Запросы HTTP GET:
- he###people.net/index.php?em######################################
- di####ultpeople.net/index.php?em######################################
- he####aughter.net/index.php?em######################################
- di#####ltdaughter.net/index.php?em######################################
- he###ready.net/index.php?em######################################
- di####ultready.net/index.php?em######################################
- he###brown.net/index.php?em######################################
- di####ultbrown.net/index.php?em######################################
- ne####arypeople.net/index.php?em######################################
- pl####ntpeople.net/index.php?em######################################
- ne#####rydaughter.net/index.php?em######################################
- pl#####tdaughter.net/index.php?em######################################
- ne####aryready.net/index.php?em######################################
- pl####ntready.net/index.php?em######################################
- ne####arybrown.net/index.php?em######################################
- pl####ntbrown.net/index.php?em######################################
- fo####dpeople.net/index.php?em######################################
- de####people.net/index.php?em######################################
- fo####ddaughter.net/index.php?em######################################
- de####daughter.net/index.php?em######################################
- fo####dready.net/index.php?em######################################
- de###eready.net/index.php?em######################################
- fo####dbrown.net/index.php?em######################################
- de###ebrown.net/index.php?em######################################
- gl###people.net/index.php?em######################################
- an####people.net/index.php?em######################################
- gl####aughter.net/index.php?em######################################
- an####daughter.net/index.php?em######################################
- gl###ready.net/index.php?em######################################
- an###rready.net/index.php?em######################################
- gl###brown.net/index.php?em######################################
- an###rbrown.net/index.php?em######################################
UDP:
- DNS ASK he###people.net
- DNS ASK di####ultpeople.net
- DNS ASK he####aughter.net
- DNS ASK di#####ltdaughter.net
- DNS ASK he###ready.net
- DNS ASK di####ultready.net
- DNS ASK he###brown.net
- DNS ASK di####ultbrown.net
- DNS ASK ne####arypeople.net
- DNS ASK pl####ntpeople.net
- DNS ASK ne#####rydaughter.net
- DNS ASK pl#####tdaughter.net
- DNS ASK ne####aryready.net
- DNS ASK pl####ntready.net
- DNS ASK ne####arybrown.net
- DNS ASK pl####ntbrown.net
- DNS ASK fo####dpeople.net
- DNS ASK de####people.net
- DNS ASK fo####ddaughter.net
- DNS ASK de####daughter.net
- DNS ASK fo####dready.net
- DNS ASK de###eready.net
- DNS ASK fo####dbrown.net
- DNS ASK de###ebrown.net
- DNS ASK gl###people.net
- DNS ASK an####people.net
- DNS ASK gl####aughter.net
- DNS ASK an####daughter.net
- DNS ASK gl###ready.net
- DNS ASK an###rready.net
- DNS ASK gl###brown.net
- DNS ASK an###rbrown.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
