Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Distributed Drive Discovery' = '%APPDATA%\xkcdpoltlm\bjyrvmiscgmh.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\xkcdpoltlm\bbugkhvu.exe' "%APPDATA%\xkcdpoltlm\bjyrvmiscgmh.exe"
- '%APPDATA%\xkcdpoltlm\bjyrvmiscgmh.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\xkcdpoltlm\bjyrvmiscgmh.eax
- %APPDATA%\xkcdpoltlm\bbugkhvu.exe
- %APPDATA%\xkcdpoltlm\bjyrvmiscgmh.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\xkcdpoltlm\bjyrvmiscgmh.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'of###short.net':80
- 'al###short.net':80
- 'of####pinion.net':80
- 'co####epromise.net':80
- 'of###should.net':80
- 'al###should.net':80
- 'al####pinion.net':80
- 'tw####should.net':80
- 'mi###eshort.net':80
- 'tw###eshort.net':80
- 'of####romise.net':80
- 'al####romise.net':80
- 'mi####should.net':80
- 'pr####topinion.net':80
- 'th####romise.net':80
- 'pr####tpromise.net':80
- 'th###short.net':80
- 'pr####tshort.net':80
- 'th####pinion.net':80
- 'ch###should.net':80
- 'ch####pinion.net':80
- 'co####eopinion.net':80
- 'ch####romise.net':80
- 'co####eshould.net':80
- 'ch###short.net':80
- 'co####eshort.net':80
TCP:
Запросы HTTP GET:
- of###short.net/index.php?em######################################
- al###short.net/index.php?em######################################
- of####pinion.net/index.php?em######################################
- co####epromise.net/index.php?em######################################
- of###should.net/index.php?em######################################
- al###should.net/index.php?em######################################
- al####pinion.net/index.php?em######################################
- tw####should.net/index.php?em######################################
- mi###eshort.net/index.php?em######################################
- tw###eshort.net/index.php?em######################################
- of####romise.net/index.php?em######################################
- al####romise.net/index.php?em######################################
- mi####should.net/index.php?em######################################
- pr####topinion.net/index.php?em######################################
- th####romise.net/index.php?em######################################
- pr####tpromise.net/index.php?em######################################
- th###short.net/index.php?em######################################
- pr####tshort.net/index.php?em######################################
- th####pinion.net/index.php?em######################################
- ch###should.net/index.php?em######################################
- ch####pinion.net/index.php?em######################################
- co####eopinion.net/index.php?em######################################
- ch####romise.net/index.php?em######################################
- co####eshould.net/index.php?em######################################
- ch###short.net/index.php?em######################################
- co####eshort.net/index.php?em######################################
UDP:
- DNS ASK al###short.net
- DNS ASK of####pinion.net
- DNS ASK al####pinion.net
- DNS ASK of###should.net
- DNS ASK al###should.net
- DNS ASK of###short.net
- DNS ASK of####romise.net
- DNS ASK mi###eshort.net
- DNS ASK tw###eshort.net
- DNS ASK mi####opinion.net
- DNS ASK al####romise.net
- DNS ASK mi####should.net
- DNS ASK tw####should.net
- DNS ASK co####epromise.net
- DNS ASK pr####topinion.net
- DNS ASK th####romise.net
- DNS ASK pr####tpromise.net
- DNS ASK th###short.net
- DNS ASK pr####tshort.net
- DNS ASK th####pinion.net
- DNS ASK ch###should.net
- DNS ASK ch####pinion.net
- DNS ASK co####eopinion.net
- DNS ASK ch####romise.net
- DNS ASK co####eshould.net
- DNS ASK ch###short.net
- DNS ASK co####eshort.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
