Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Upgrade Host Power Shadow Print DHCP WMI' = '%APPDATA%\udcy2qn\fjonmgenkvdx.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\udcy2qn\kvdbbxq.exe' "%APPDATA%\udcy2qn\fjonmgenkvdx.exe"
- '%APPDATA%\udcy2qn\fjonmgenkvdx.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\udcy2qn\fjonmgenkvdx.dzq
- %APPDATA%\udcy2qn\kvdbbxq.exe
- %APPDATA%\udcy2qn\fjonmgenkvdx.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\udcy2qn\fjonmgenkvdx.exe
Сетевая активность:
Подключается к:
- 'we####rcircle.net':80
- 'th####easure.net':80
- 'cl####easure.net':80
- 'am####circle.net':80
- 'we####rdinner.net':80
- 'am####afraid.net':80
- 'we####rafraid.net':80
- 'th###dinner.net':80
- 'cl###circle.net':80
- 'th###wheat.net':80
- 'pr####twheat.net':80
- 'th###circle.net':80
- 'cl###dinner.net':80
- 'th###afraid.net':80
- 'cl###afraid.net':80
- 'st####emeasure.net':80
- 'hi####ymeasure.net':80
- 'st####edinner.net':80
- 'mo####gcircle.net':80
- 'ra####afraid.net':80
- 'mo####gafraid.net':80
- 'ra####circle.net':80
- 'hi####ydinner.net':80
- 'am####measure.net':80
- 'we####rmeasure.net':80
- 'am####dinner.net':80
- 'hi####ycircle.net':80
- 'st####eafraid.net':80
- 'hi####yafraid.net':80
- 'st####ecircle.net':80
TCP:
Запросы HTTP GET:
- we####rcircle.net/index.php?em################################################################
- th####easure.net/index.php?em################################################################
- cl####easure.net/index.php?em################################################################
- am####circle.net/index.php?em################################################################
- we####rdinner.net/index.php?em################################################################
- am####afraid.net/index.php?em################################################################
- we####rafraid.net/index.php?em################################################################
- th###dinner.net/index.php?em################################################################
- cl###circle.net/index.php?em################################################################
- th###wheat.net/index.php?em################################################################
- pr####twheat.net/index.php?em################################################################
- th###circle.net/index.php?em################################################################
- cl###dinner.net/index.php?em################################################################
- th###afraid.net/index.php?em################################################################
- cl###afraid.net/index.php?em################################################################
- st####emeasure.net/index.php?em################################################################
- hi####ymeasure.net/index.php?em################################################################
- st####edinner.net/index.php?em################################################################
- mo####gcircle.net/index.php?em################################################################
- ra####afraid.net/index.php?em################################################################
- mo####gafraid.net/index.php?em################################################################
- ra####circle.net/index.php?em################################################################
- hi####ydinner.net/index.php?em################################################################
- am####measure.net/index.php?em################################################################
- we####rmeasure.net/index.php?em################################################################
- am####dinner.net/index.php?em################################################################
- hi####ycircle.net/index.php?em################################################################
- st####eafraid.net/index.php?em################################################################
- hi####yafraid.net/index.php?em################################################################
- st####ecircle.net/index.php?em################################################################
UDP:
- DNS ASK we####rcircle.net
- DNS ASK th####easure.net
- DNS ASK cl####easure.net
- DNS ASK am####circle.net
- DNS ASK we####rdinner.net
- DNS ASK am####afraid.net
- DNS ASK we####rafraid.net
- DNS ASK th###dinner.net
- DNS ASK cl###circle.net
- DNS ASK th###wheat.net
- DNS ASK pr####twheat.net
- DNS ASK th###circle.net
- DNS ASK cl###dinner.net
- DNS ASK th###afraid.net
- DNS ASK cl###afraid.net
- DNS ASK st####emeasure.net
- DNS ASK hi####ymeasure.net
- DNS ASK st####edinner.net
- DNS ASK mo####gcircle.net
- DNS ASK ra####afraid.net
- DNS ASK mo####gafraid.net
- DNS ASK ra####circle.net
- DNS ASK hi####ydinner.net
- DNS ASK am####measure.net
- DNS ASK we####rmeasure.net
- DNS ASK am####dinner.net
- DNS ASK hi####ycircle.net
- DNS ASK st####eafraid.net
- DNS ASK hi####yafraid.net
- DNS ASK st####ecircle.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
