Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Logs Management Smart Engine' = '%APPDATA%\rxrzemevpxshxy\ctwrzgheqju.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\rxrzemevpxshxy\rgxoonhhee.exe' "%APPDATA%\rxrzemevpxshxy\ctwrzgheqju.exe"
- '%APPDATA%\rxrzemevpxshxy\ctwrzgheqju.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\rxrzemevpxshxy\ctwrzgheqju.dcwif
- %APPDATA%\rxrzemevpxshxy\rgxoonhhee.exe
- %APPDATA%\rxrzemevpxshxy\ctwrzgheqju.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\rxrzemevpxshxy\ctwrzgheqju.exe
Сетевая активность:
Подключается к:
- 'ge####course.net':80
- 'ge###epaint.net':80
- 'ge###ewomen.net':80
- 're###nclean.net':80
- 'va####sclean.net':80
- 'he###paint.net':80
- 'le###rwomen.net':80
- 'he####course.net':80
- 'he###nwomen.net':80
- 'ge###eclean.net':80
- 'he###clean.net':80
- 'va####spaint.net':80
- 'de####nothing.net':80
- 'fo####dstream.net':80
- 'fo####dnothing.net':80
- 'fo####dbottle.net':80
- 'de####bottle.net':80
- 'de####stream.net':80
- 'va####scourse.net':80
- 're###npaint.net':80
- 're####course.net':80
- 're###nwomen.net':80
- 'va####swomen.net':80
- 'le####course.net':80
- 'pl####ntcourse.net':80
- 'ne####arypaint.net':80
- 'ne####arycourse.net':80
- 'ne####arywomen.net':80
- 'pl####ntwomen.net':80
- 'pl####ntpaint.net':80
- 'di####ultwomen.net':80
- 'he###course.net':80
- 'he###women.net':80
- 'ne####aryclean.net':80
- 'pl####ntclean.net':80
- 'or###clean.net':80
- 'le###rclean.net':80
- 're####ewomen.net':80
- 'he###nclean.net':80
- 'he###npaint.net':80
- 'le###rpaint.net':80
- 'or###women.net':80
- 'or###paint.net':80
- 're####eclean.net':80
- 're####epaint.net':80
- 're####ecourse.net':80
- 'or###course.net':80
TCP:
Запросы HTTP GET:
- ge####course.net/index.php?em###########################################
- ge###epaint.net/index.php?em###########################################
- ge###ewomen.net/index.php?em###########################################
- re###nclean.net/index.php?em###########################################
- va####sclean.net/index.php?em###########################################
- he###paint.net/index.php?em###########################################
- le###rwomen.net/index.php?em###########################################
- he####course.net/index.php?em###########################################
- he###nwomen.net/index.php?em###########################################
- ge###eclean.net/index.php?em###########################################
- he###clean.net/index.php?em###########################################
- va####spaint.net/index.php?em###########################################
- de####nothing.net/index.php?em###########################################
- fo####dstream.net/index.php?em###########################################
- fo####dnothing.net/index.php?em###########################################
- fo####dbottle.net/index.php?em###########################################
- de####bottle.net/index.php?em###########################################
- de####stream.net/index.php?em###########################################
- va####scourse.net/index.php?em###########################################
- re###npaint.net/index.php?em###########################################
- re####course.net/index.php?em###########################################
- re###nwomen.net/index.php?em###########################################
- va####swomen.net/index.php?em###########################################
- le####course.net/index.php?em###########################################
- pl####ntcourse.net/index.php?em###########################################
- ne####arypaint.net/index.php?em###########################################
- ne####arycourse.net/index.php?em###########################################
- ne####arywomen.net/index.php?em###########################################
- pl####ntwomen.net/index.php?em###########################################
- pl####ntpaint.net/index.php?em###########################################
- di####ultwomen.net/index.php?em###########################################
- he###course.net/index.php?em###########################################
- he###women.net/index.php?em###########################################
- ne####aryclean.net/index.php?em###########################################
- pl####ntclean.net/index.php?em###########################################
- or###clean.net/index.php?em###########################################
- le###rclean.net/index.php?em###########################################
- re####ewomen.net/index.php?em###########################################
- he###nclean.net/index.php?em###########################################
- he###npaint.net/index.php?em###########################################
- le###rpaint.net/index.php?em###########################################
- or###women.net/index.php?em###########################################
- or###paint.net/index.php?em###########################################
- re####eclean.net/index.php?em###########################################
- re####epaint.net/index.php?em###########################################
- re####ecourse.net/index.php?em###########################################
- or###course.net/index.php?em###########################################
UDP:
- DNS ASK ge####course.net
- DNS ASK ge###epaint.net
- DNS ASK ge###ewomen.net
- DNS ASK re###nclean.net
- DNS ASK va####sclean.net
- DNS ASK he###paint.net
- DNS ASK le###rwomen.net
- DNS ASK he####course.net
- DNS ASK he###nwomen.net
- DNS ASK ge###eclean.net
- DNS ASK he###clean.net
- DNS ASK va####spaint.net
- DNS ASK de####nothing.net
- DNS ASK fo####dstream.net
- DNS ASK fo####dnothing.net
- DNS ASK fo####dbottle.net
- DNS ASK de####bottle.net
- DNS ASK de####stream.net
- DNS ASK va####scourse.net
- DNS ASK re###npaint.net
- DNS ASK re####course.net
- DNS ASK re###nwomen.net
- DNS ASK va####swomen.net
- DNS ASK le####course.net
- DNS ASK pl####ntcourse.net
- DNS ASK ne####arypaint.net
- DNS ASK ne####arycourse.net
- DNS ASK ne####arywomen.net
- DNS ASK pl####ntwomen.net
- DNS ASK pl####ntpaint.net
- DNS ASK di####ultwomen.net
- DNS ASK he###course.net
- DNS ASK he###women.net
- DNS ASK ne####aryclean.net
- DNS ASK pl####ntclean.net
- DNS ASK or###clean.net
- DNS ASK le###rclean.net
- DNS ASK re####ewomen.net
- DNS ASK he###nclean.net
- DNS ASK he###npaint.net
- DNS ASK le###rpaint.net
- DNS ASK or###women.net
- DNS ASK or###paint.net
- DNS ASK re####eclean.net
- DNS ASK re####epaint.net
- DNS ASK re####ecourse.net
- DNS ASK or###course.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
