Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Health Protocol Level DCOM' = '%APPDATA%\migolcf\hmdvvtt.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\migolcf\orxhxhir.exe' "%APPDATA%\migolcf\hmdvvtt.exe"
- '%APPDATA%\migolcf\hmdvvtt.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\migolcf\hmdvvtt.hb
- %APPDATA%\migolcf\orxhxhir.exe
- %APPDATA%\migolcf\hmdvvtt.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\migolcf\hmdvvtt.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'tw###ebuilt.net':80
- 'mi###ecarry.net':80
- 'mi###ebuilt.net':80
- 'mi###eapple.net':80
- 'tw###eapple.net':80
- 'tw###ecarry.net':80
- 'mo####gapple.net':80
- 'ra###rbuilt.net':80
- 'ra###rapple.net':80
- 'ra####father.net':80
- 'mo####gfather.net':80
- 'of###apple.net':80
- 'al###apple.net':80
- 'al###father.net':80
- 'co####ecarry.net':80
- 'of###father.net':80
- 'of###built.net':80
- 'mi####father.net':80
- 'tw####father.net':80
- 'al###carry.net':80
- 'al###built.net':80
- 'of###carry.net':80
TCP:
Запросы HTTP GET:
- tw###ebuilt.net/index.php?em##########################################
- mi###ecarry.net/index.php?em##########################################
- mi###ebuilt.net/index.php?em##########################################
- mi###eapple.net/index.php?em##########################################
- tw###eapple.net/index.php?em##########################################
- tw###ecarry.net/index.php?em##########################################
- mo####gapple.net/index.php?em##########################################
- ra###rbuilt.net/index.php?em##########################################
- ra###rapple.net/index.php?em##########################################
- ra####father.net/index.php?em##########################################
- mo####gfather.net/index.php?em##########################################
- of###apple.net/index.php?em##########################################
- al###apple.net/index.php?em##########################################
- al###father.net/index.php?em##########################################
- co####ecarry.net/index.php?em##########################################
- of###father.net/index.php?em##########################################
- of###built.net/index.php?em##########################################
- mi####father.net/index.php?em##########################################
- tw####father.net/index.php?em##########################################
- al###carry.net/index.php?em##########################################
- al###built.net/index.php?em##########################################
- of###carry.net/index.php?em##########################################
UDP:
- DNS ASK mi###ecarry.net
- DNS ASK tw###ecarry.net
- DNS ASK tw###ebuilt.net
- DNS ASK tw###eapple.net
- DNS ASK mi###ebuilt.net
- DNS ASK ra####father.net
- DNS ASK ra###rbuilt.net
- DNS ASK mo####gbuilt.net
- DNS ASK mo####gapple.net
- DNS ASK mo####gfather.net
- DNS ASK ra###rapple.net
- DNS ASK mi###eapple.net
- DNS ASK of###apple.net
- DNS ASK al###apple.net
- DNS ASK al###father.net
- DNS ASK co####ecarry.net
- DNS ASK of###father.net
- DNS ASK of###built.net
- DNS ASK mi####father.net
- DNS ASK tw####father.net
- DNS ASK al###carry.net
- DNS ASK al###built.net
- DNS ASK of###carry.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
