Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'PnP-X Sharing Key Intelligent Tools' = '%APPDATA%\eochmyvhdshf\acngbblrsbeu.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\eochmyvhdshf\aueynva.exe' "%APPDATA%\eochmyvhdshf\acngbblrsbeu.exe"
- '%APPDATA%\eochmyvhdshf\acngbblrsbeu.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\eochmyvhdshf\acngbblrsbeu.va
- %APPDATA%\eochmyvhdshf\aueynva.exe
- %APPDATA%\eochmyvhdshf\acngbblrsbeu.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\eochmyvhdshf\acngbblrsbeu.exe
Сетевая активность:
Подключается к:
- 'ni###charge.net':80
- 'de####single.net':80
- 'ni####ifference.net':80
- 'de####charge.net':80
- 'ni###single.net':80
- 'do####ifference.net':80
- 'ag#####difference.net':80
- 'do###every.net':80
- 'ag####tevery.net':80
- 'ca####ncharge.net':80
- 'la###charge.net':80
- 'ca#####difference.net':80
- 'la####ifference.net':80
- 'ca####nsingle.net':80
- 'ni###every.net':80
- 'de#####ifference.net':80
- 'la###single.net':80
- 'de###eevery.net':80
- 'qu###choose.net':80
- 'br####owever.net':80
- 'qu####lthough.net':80
- 'se####choose.net':80
- 'fl####owever.net':80
- 'br####lthough.net':80
- 'fl####lthough.net':80
- 'br###period.net':80
- 'fl###period.net':80
- 'do###single.net':80
- 'ag####tsingle.net':80
- 'do###charge.net':80
- 'ag####tcharge.net':80
- 'se####however.net':80
- 'qu###period.net':80
- 'se####although.net':80
- 'qu####owever.net':80
- 'se####period.net':80
TCP:
Запросы HTTP GET:
- ni###charge.net/index.php?em####################################
- de####single.net/index.php?em####################################
- ni####ifference.net/index.php?em####################################
- de####charge.net/index.php?em####################################
- ni###single.net/index.php?em####################################
- do####ifference.net/index.php?em####################################
- ag#####difference.net/index.php?em####################################
- do###every.net/index.php?em####################################
- ag####tevery.net/index.php?em####################################
- ca####ncharge.net/index.php?em####################################
- la###charge.net/index.php?em####################################
- ca#####difference.net/index.php?em####################################
- la####ifference.net/index.php?em####################################
- ca####nsingle.net/index.php?em####################################
- ni###every.net/index.php?em####################################
- de#####ifference.net/index.php?em####################################
- la###single.net/index.php?em####################################
- de###eevery.net/index.php?em####################################
- qu###choose.net/index.php?em####################################
- br####owever.net/index.php?em####################################
- qu####lthough.net/index.php?em####################################
- se####choose.net/index.php?em####################################
- fl####owever.net/index.php?em####################################
- br####lthough.net/index.php?em####################################
- fl####lthough.net/index.php?em####################################
- br###period.net/index.php?em####################################
- fl###period.net/index.php?em####################################
- do###single.net/index.php?em####################################
- ag####tsingle.net/index.php?em####################################
- do###charge.net/index.php?em####################################
- ag####tcharge.net/index.php?em####################################
- se####however.net/index.php?em####################################
- qu###period.net/index.php?em####################################
- se####although.net/index.php?em####################################
- qu####owever.net/index.php?em####################################
- se####period.net/index.php?em####################################
UDP:
- DNS ASK de####charge.net
- DNS ASK ni###charge.net
- DNS ASK de#####ifference.net
- DNS ASK ni####ifference.net
- DNS ASK de####single.net
- DNS ASK ag####tevery.net
- DNS ASK do####ifference.net
- DNS ASK ni###single.net
- DNS ASK do###every.net
- DNS ASK la####ifference.net
- DNS ASK ca####ncharge.net
- DNS ASK la###every.net
- DNS ASK ca#####difference.net
- DNS ASK la###charge.net
- DNS ASK de###eevery.net
- DNS ASK ni###every.net
- DNS ASK ca####nsingle.net
- DNS ASK la###single.net
- DNS ASK ag#####difference.net
- DNS ASK qu###choose.net
- DNS ASK br####owever.net
- DNS ASK qu####lthough.net
- DNS ASK se####choose.net
- DNS ASK fl####owever.net
- DNS ASK br####lthough.net
- DNS ASK fl####lthough.net
- DNS ASK br###period.net
- DNS ASK fl###period.net
- DNS ASK do###single.net
- DNS ASK ag####tsingle.net
- DNS ASK do###charge.net
- DNS ASK ag####tcharge.net
- DNS ASK se####however.net
- DNS ASK qu###period.net
- DNS ASK se####although.net
- DNS ASK qu####owever.net
- DNS ASK se####period.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
