Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'List Internet Offline Spooler System Web' = '%APPDATA%\jueilchif\xdociclltros.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\jueilchif\ayvgxjnoth.exe' "%APPDATA%\jueilchif\xdociclltros.exe"
- '%APPDATA%\jueilchif\xdociclltros.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\jueilchif\xdociclltros.nfod
- %APPDATA%\jueilchif\ayvgxjnoth.exe
- %APPDATA%\jueilchif\xdociclltros.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\jueilchif\ayvgxjnoth.exe
- %APPDATA%\jueilchif\xdociclltros.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'cl###short.net':80
- 'th####pinion.net':80
- 'cl####pinion.net':80
- 'th###should.net':80
- 'cl###should.net':80
- 'th###short.net':80
- 'th####romise.net':80
- 'th####istance.net':80
- 'pr####tdistance.net':80
- 'th###office.net':80
- 'cl####romise.net':80
- 'th###supply.net':80
- 'pr####tsupply.net':80
- 'we####rpromise.net':80
- 'hi####yopinion.net':80
- 'st####epromise.net':80
- 'hi####ypromise.net':80
- 'st####eshort.net':80
- 'hi####yshort.net':80
- 'st####eopinion.net':80
- 'am####should.net':80
- 'am####opinion.net':80
- 'we####ropinion.net':80
- 'am####promise.net':80
- 'we####rshould.net':80
- 'am###tshort.net':80
- 'we####rshort.net':80
TCP:
Запросы HTTP GET:
- cl###short.net/forum/search.php?em#####################################
- th####pinion.net/forum/search.php?em#####################################
- cl####pinion.net/forum/search.php?em#####################################
- th###should.net/forum/search.php?em#####################################
- cl###should.net/forum/search.php?em#####################################
- th###short.net/forum/search.php?em#####################################
- th####romise.net/forum/search.php?em#####################################
- th####istance.net/forum/search.php?em#####################################
- pr####tdistance.net/forum/search.php?em#####################################
- th###office.net/forum/search.php?em#####################################
- cl####romise.net/forum/search.php?em#####################################
- th###supply.net/forum/search.php?em#####################################
- pr####tsupply.net/forum/search.php?em#####################################
- we####rpromise.net/forum/search.php?em#####################################
- hi####yopinion.net/forum/search.php?em#####################################
- st####epromise.net/forum/search.php?em#####################################
- hi####ypromise.net/forum/search.php?em#####################################
- st####eshort.net/forum/search.php?em#####################################
- hi####yshort.net/forum/search.php?em#####################################
- st####eopinion.net/forum/search.php?em#####################################
- am####should.net/forum/search.php?em#####################################
- am####opinion.net/forum/search.php?em#####################################
- we####ropinion.net/forum/search.php?em#####################################
- am####promise.net/forum/search.php?em#####################################
- we####rshould.net/forum/search.php?em#####################################
- am###tshort.net/forum/search.php?em#####################################
- we####rshort.net/forum/search.php?em#####################################
UDP:
- DNS ASK th####pinion.net
- DNS ASK cl####pinion.net
- DNS ASK th####romise.net
- DNS ASK cl###short.net
- DNS ASK th###should.net
- DNS ASK cl###should.net
- DNS ASK th###short.net
- DNS ASK pr####tdistance.net
- DNS ASK th###office.net
- DNS ASK pr####toffice.net
- DNS ASK th####istance.net
- DNS ASK cl####romise.net
- DNS ASK th###supply.net
- DNS ASK pr####tsupply.net
- DNS ASK st####epromise.net
- DNS ASK hi####ypromise.net
- DNS ASK am####should.net
- DNS ASK hi####yopinion.net
- DNS ASK st####eshort.net
- DNS ASK hi####yshort.net
- DNS ASK st####eopinion.net
- DNS ASK we####ropinion.net
- DNS ASK am####promise.net
- DNS ASK we####rpromise.net
- DNS ASK am####opinion.net
- DNS ASK we####rshould.net
- DNS ASK am###tshort.net
- DNS ASK we####rshort.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
