Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Support Adaptive DNS KtmRm' = '%APPDATA%\bnoeidr\oobwpifbyi.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\bnoeidr\quhoqbv.exe' "%APPDATA%\bnoeidr\oobwpifbyi.exe"
- '%APPDATA%\bnoeidr\oobwpifbyi.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\bnoeidr\oobwpifbyi.nr2fs
- %APPDATA%\bnoeidr\quhoqbv.exe
- %APPDATA%\bnoeidr\oobwpifbyi.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\bnoeidr\oobwpifbyi.exe
Сетевая активность:
Подключается к:
- 'le####clothes.net':80
- 'he####health.net':80
- 'le####health.net':80
- 'he####distant.net':80
- 'le####distant.net':80
- 'he####clothes.net':80
- 'or####istant.net':80
- 're####eclothes.net':80
- 'or####lothes.net':80
- 'he####separate.net':80
- 'le####separate.net':80
- 're####edistant.net':80
- 'va####sclothes.net':80
- 're####health.net':80
- 'va####shealth.net':80
- 're####distant.net':80
- 'va####sdistant.net':80
- 're####clothes.net':80
- 'ge####clothes.net':80
- 'ge####health.net':80
- 'ge####separate.net':80
- 're####separate.net':80
- 'va####sseparate.net':80
- 'ge####distant.net':80
- 'di#####ltclothes.net':80
- 'he###health.net':80
- 'di####ulthealth.net':80
- 'he####istant.net':80
- 'di#####ltdistant.net':80
- 'he####lothes.net':80
- 'an####distant.net':80
- 'gl####lothes.net':80
- 'an####clothes.net':80
- 'he####eparate.net':80
- 'di#####ltseparate.net':80
- 'gl####istant.net':80
- 'or####eparate.net':80
- 'ne#####rydistant.net':80
- 'pl####ntdistant.net':80
- 're####ehealth.net':80
- 'or###health.net':80
- 're####eseparate.net':80
- 'pl####nthealth.net':80
- 'ne#####ryseparate.net':80
- 'pl#####tseparate.net':80
- 'ne#####ryclothes.net':80
- 'pl####ntclothes.net':80
- 'ne####aryhealth.net':80
TCP:
Запросы HTTP GET:
- le####clothes.net/index.php?em#####################################
- he####health.net/index.php?em#####################################
- le####health.net/index.php?em#####################################
- he####distant.net/index.php?em#####################################
- le####distant.net/index.php?em#####################################
- he####clothes.net/index.php?em#####################################
- or####istant.net/index.php?em#####################################
- re####eclothes.net/index.php?em#####################################
- or####lothes.net/index.php?em#####################################
- he####separate.net/index.php?em#####################################
- le####separate.net/index.php?em#####################################
- re####edistant.net/index.php?em#####################################
- va####sclothes.net/index.php?em#####################################
- re####health.net/index.php?em#####################################
- va####shealth.net/index.php?em#####################################
- re####distant.net/index.php?em#####################################
- va####sdistant.net/index.php?em#####################################
- re####clothes.net/index.php?em#####################################
- ge####clothes.net/index.php?em#####################################
- ge####health.net/index.php?em#####################################
- ge####separate.net/index.php?em#####################################
- re####separate.net/index.php?em#####################################
- va####sseparate.net/index.php?em#####################################
- ge####distant.net/index.php?em#####################################
- di#####ltclothes.net/index.php?em#####################################
- he###health.net/index.php?em#####################################
- di####ulthealth.net/index.php?em#####################################
- he####istant.net/index.php?em#####################################
- di#####ltdistant.net/index.php?em#####################################
- he####lothes.net/index.php?em#####################################
- an####distant.net/index.php?em#####################################
- gl####lothes.net/index.php?em#####################################
- an####clothes.net/index.php?em#####################################
- he####eparate.net/index.php?em#####################################
- di#####ltseparate.net/index.php?em#####################################
- gl####istant.net/index.php?em#####################################
- or####eparate.net/index.php?em#####################################
- ne#####rydistant.net/index.php?em#####################################
- pl####ntdistant.net/index.php?em#####################################
- re####ehealth.net/index.php?em#####################################
- or###health.net/index.php?em#####################################
- re####eseparate.net/index.php?em#####################################
- pl####nthealth.net/index.php?em#####################################
- ne#####ryseparate.net/index.php?em#####################################
- pl#####tseparate.net/index.php?em#####################################
- ne#####ryclothes.net/index.php?em#####################################
- pl####ntclothes.net/index.php?em#####################################
- ne####aryhealth.net/index.php?em#####################################
UDP:
- DNS ASK le####clothes.net
- DNS ASK he####health.net
- DNS ASK le####health.net
- DNS ASK he####distant.net
- DNS ASK le####distant.net
- DNS ASK he####clothes.net
- DNS ASK or####istant.net
- DNS ASK re####eclothes.net
- DNS ASK or####lothes.net
- DNS ASK he####separate.net
- DNS ASK le####separate.net
- DNS ASK re####edistant.net
- DNS ASK va####sclothes.net
- DNS ASK re####health.net
- DNS ASK va####shealth.net
- DNS ASK re####distant.net
- DNS ASK va####sdistant.net
- DNS ASK re####clothes.net
- DNS ASK ge####clothes.net
- DNS ASK ge####health.net
- DNS ASK ge####separate.net
- DNS ASK re####separate.net
- DNS ASK va####sseparate.net
- DNS ASK ge####distant.net
- DNS ASK di#####ltclothes.net
- DNS ASK he###health.net
- DNS ASK di####ulthealth.net
- DNS ASK he####istant.net
- DNS ASK di#####ltdistant.net
- DNS ASK he####lothes.net
- DNS ASK an####distant.net
- DNS ASK gl####lothes.net
- DNS ASK an####clothes.net
- DNS ASK he####eparate.net
- DNS ASK di#####ltseparate.net
- DNS ASK gl####istant.net
- DNS ASK or####eparate.net
- DNS ASK ne#####rydistant.net
- DNS ASK pl####ntdistant.net
- DNS ASK re####ehealth.net
- DNS ASK or###health.net
- DNS ASK re####eseparate.net
- DNS ASK pl####nthealth.net
- DNS ASK ne#####ryseparate.net
- DNS ASK pl#####tseparate.net
- DNS ASK ne#####ryclothes.net
- DNS ASK pl####ntclothes.net
- DNS ASK ne####aryhealth.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
