Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Now SNMP Biometric Shadow Base Office Information' = '%APPDATA%\nrfmqqc\ozu6aoqp.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\nrfmqqc\ksspffu.exe' "%APPDATA%\nrfmqqc\ozu6aoqp.exe"
- '%APPDATA%\nrfmqqc\ozu6aoqp.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\nrfmqqc\ozu6aoqp.lgkzj
- %APPDATA%\nrfmqqc\ksspffu.exe
- %APPDATA%\nrfmqqc\ozu6aoqp.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\nrfmqqc\ozu6aoqp.exe
Сетевая активность:
Подключается к:
- 'le####device.net':80
- 'he####language.net':80
- 'le####language.net':80
- 'he####device.net':80
- 'ge####settle.net':80
- 'he####before.net':80
- 'le####before.net':80
- 're####edevice.net':80
- 'or###device.net':80
- 're####elanguage.net':80
- 'or###before.net':80
- 'he####settle.net':80
- 'le####settle.net':80
- 're####ebefore.net':80
- 'va####sbefore.net':80
- 're####device.net':80
- 'va####sdevice.net':80
- 're####before.net':80
- 'de####spring.net':80
- 'fo####dfound.net':80
- 'de###efound.net':80
- 'ge####before.net':80
- 'ge####device.net':80
- 'ge####language.net':80
- 'va####ssettle.net':80
- 're####language.net':80
- 'va####slanguage.net':80
- 're####settle.net':80
- 'or####anguage.net':80
- 'gl###before.net':80
- 'an####before.net':80
- 'gl###device.net':80
- 'di####ultsettle.net':80
- 'he####anguage.net':80
- 'di#####ltlanguage.net':80
- 'he###settle.net':80
- 'an####settle.net':80
- 'fo####dbefore.net':80
- 'de####before.net':80
- 'gl###settle.net':80
- 'an####device.net':80
- 'gl####anguage.net':80
- 'an####language.net':80
- 'ne####arydevice.net':80
- 'pl####ntdevice.net':80
- 'ne#####rylanguage.net':80
- 'pl####ntbefore.net':80
- 're####esettle.net':80
- 'or###settle.net':80
- 'ne####arybefore.net':80
- 'di####ultbefore.net':80
- 'he###device.net':80
- 'di####ultdevice.net':80
- 'he###before.net':80
- 'pl#####tlanguage.net':80
- 'ne####arysettle.net':80
- 'pl####ntsettle.net':80
TCP:
Запросы HTTP GET:
- le####device.net/index.php?em###################################################################
- he####language.net/index.php?em###################################################################
- le####language.net/index.php?em###################################################################
- he####device.net/index.php?em###################################################################
- ge####settle.net/index.php?em###################################################################
- he####before.net/index.php?em###################################################################
- le####before.net/index.php?em###################################################################
- re####edevice.net/index.php?em###################################################################
- or###device.net/index.php?em###################################################################
- re####elanguage.net/index.php?em###################################################################
- or###before.net/index.php?em###################################################################
- he####settle.net/index.php?em###################################################################
- le####settle.net/index.php?em###################################################################
- re####ebefore.net/index.php?em###################################################################
- va####sbefore.net/index.php?em###################################################################
- re####device.net/index.php?em###################################################################
- va####sdevice.net/index.php?em###################################################################
- re####before.net/index.php?em###################################################################
- de####spring.net/index.php?em###################################################################
- fo####dfound.net/index.php?em###################################################################
- de###efound.net/index.php?em###################################################################
- ge####before.net/index.php?em###################################################################
- ge####device.net/index.php?em###################################################################
- ge####language.net/index.php?em###################################################################
- va####ssettle.net/index.php?em###################################################################
- re####language.net/index.php?em###################################################################
- va####slanguage.net/index.php?em###################################################################
- re####settle.net/index.php?em###################################################################
- or####anguage.net/index.php?em###################################################################
- gl###before.net/index.php?em###################################################################
- an####before.net/index.php?em###################################################################
- gl###device.net/index.php?em###################################################################
- di####ultsettle.net/index.php?em###################################################################
- he####anguage.net/index.php?em###################################################################
- di#####ltlanguage.net/index.php?em###################################################################
- he###settle.net/index.php?em###################################################################
- an####settle.net/index.php?em###################################################################
- fo####dbefore.net/index.php?em###################################################################
- de####before.net/index.php?em###################################################################
- gl###settle.net/index.php?em###################################################################
- an####device.net/index.php?em###################################################################
- gl####anguage.net/index.php?em###################################################################
- an####language.net/index.php?em###################################################################
- ne####arydevice.net/index.php?em###################################################################
- pl####ntdevice.net/index.php?em###################################################################
- ne#####rylanguage.net/index.php?em###################################################################
- pl####ntbefore.net/index.php?em###################################################################
- re####esettle.net/index.php?em###################################################################
- or###settle.net/index.php?em###################################################################
- ne####arybefore.net/index.php?em###################################################################
- di####ultbefore.net/index.php?em###################################################################
- he###device.net/index.php?em###################################################################
- di####ultdevice.net/index.php?em###################################################################
- he###before.net/index.php?em###################################################################
- pl#####tlanguage.net/index.php?em###################################################################
- ne####arysettle.net/index.php?em###################################################################
- pl####ntsettle.net/index.php?em###################################################################
UDP:
- DNS ASK le####device.net
- DNS ASK he####language.net
- DNS ASK le####language.net
- DNS ASK he####device.net
- DNS ASK ge####settle.net
- DNS ASK he####before.net
- DNS ASK le####before.net
- DNS ASK re####edevice.net
- DNS ASK or###device.net
- DNS ASK re####elanguage.net
- DNS ASK or###before.net
- DNS ASK he####settle.net
- DNS ASK le####settle.net
- DNS ASK re####ebefore.net
- DNS ASK ge####language.net
- DNS ASK re####before.net
- DNS ASK va####sbefore.net
- DNS ASK re####device.net
- DNS ASK de###efound.net
- DNS ASK fo####dspring.net
- DNS ASK de####spring.net
- DNS ASK fo####dfound.net
- DNS ASK va####ssettle.net
- DNS ASK ge####before.net
- DNS ASK ge####device.net
- DNS ASK re####settle.net
- DNS ASK va####sdevice.net
- DNS ASK re####language.net
- DNS ASK va####slanguage.net
- DNS ASK gl###before.net
- DNS ASK an####before.net
- DNS ASK gl###device.net
- DNS ASK di####ultsettle.net
- DNS ASK he####anguage.net
- DNS ASK di#####ltlanguage.net
- DNS ASK he###settle.net
- DNS ASK an####settle.net
- DNS ASK fo####dbefore.net
- DNS ASK de####before.net
- DNS ASK gl###settle.net
- DNS ASK an####device.net
- DNS ASK gl####anguage.net
- DNS ASK an####language.net
- DNS ASK di####ultdevice.net
- DNS ASK pl####ntbefore.net
- DNS ASK ne####arydevice.net
- DNS ASK pl####ntdevice.net
- DNS ASK ne####arybefore.net
- DNS ASK or####anguage.net
- DNS ASK re####esettle.net
- DNS ASK or###settle.net
- DNS ASK he###before.net
- DNS ASK di####ultbefore.net
- DNS ASK he###device.net
- DNS ASK pl####ntsettle.net
- DNS ASK ne#####rylanguage.net
- DNS ASK pl#####tlanguage.net
- DNS ASK ne####arysettle.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
