Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'PNRP List Software Bus Protocol' = '%APPDATA%\pjmjpvqns\wlwoiyrfu.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\pjmjpvqns\jsaqniex.exe' "%APPDATA%\pjmjpvqns\wlwoiyrfu.exe"
- '%APPDATA%\pjmjpvqns\wlwoiyrfu.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\pjmjpvqns\wlwoiyrfu.lvyb
- %APPDATA%\pjmjpvqns\jsaqniex.exe
- %APPDATA%\pjmjpvqns\wlwoiyrfu.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\pjmjpvqns\wlwoiyrfu.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'ch###choose.net':80
- 'co####echoose.net':80
- 'ch####lthough.net':80
- 'pr####thowever.net':80
- 'th###period.net':80
- 'pr####tperiod.net':80
- 'th####owever.net':80
- 'co####ealthough.net':80
- 'of###choose.net':80
- 'al###choose.net':80
- 'of####lthough.net':80
- 'co####ehowever.net':80
- 'ch###period.net':80
- 'co####eperiod.net':80
- 'ch####owever.net':80
- 'pr####talthough.net':80
- 'th###hunger.net':80
- 'cl###hunger.net':80
- 'th####raining.net':80
- 'we####rthrown.net':80
- 'am###tstorm.net':80
- 'we####rstorm.net':80
- 'am####thrown.net':80
- 'cl####raining.net':80
- 'th###choose.net':80
- 'pr####tchoose.net':80
- 'th####lthough.net':80
- 'cl###thrown.net':80
- 'th###storm.net':80
- 'cl###storm.net':80
- 'th###thrown.net':80
TCP:
Запросы HTTP GET:
- ch###choose.net/index.php?em##################################
- co####echoose.net/index.php?em##################################
- ch####lthough.net/index.php?em##################################
- pr####thowever.net/index.php?em##################################
- th###period.net/index.php?em##################################
- pr####tperiod.net/index.php?em##################################
- th####owever.net/index.php?em##################################
- co####ealthough.net/index.php?em##################################
- of###choose.net/index.php?em##################################
- al###choose.net/index.php?em##################################
- of####lthough.net/index.php?em##################################
- co####ehowever.net/index.php?em##################################
- ch###period.net/index.php?em##################################
- co####eperiod.net/index.php?em##################################
- ch####owever.net/index.php?em##################################
- pr####talthough.net/index.php?em##################################
- th###hunger.net/index.php?em##################################
- cl###hunger.net/index.php?em##################################
- th####raining.net/index.php?em##################################
- we####rthrown.net/index.php?em##################################
- am###tstorm.net/index.php?em##################################
- we####rstorm.net/index.php?em##################################
- am####thrown.net/index.php?em##################################
- cl####raining.net/index.php?em##################################
- th###choose.net/index.php?em##################################
- pr####tchoose.net/index.php?em##################################
- th####lthough.net/index.php?em##################################
- cl###thrown.net/index.php?em##################################
- th###storm.net/index.php?em##################################
- cl###storm.net/index.php?em##################################
- th###thrown.net/index.php?em##################################
UDP:
- DNS ASK ch###choose.net
- DNS ASK co####echoose.net
- DNS ASK ch####lthough.net
- DNS ASK pr####thowever.net
- DNS ASK th###period.net
- DNS ASK pr####tperiod.net
- DNS ASK th####owever.net
- DNS ASK co####ealthough.net
- DNS ASK of###choose.net
- DNS ASK al###choose.net
- DNS ASK of####lthough.net
- DNS ASK co####ehowever.net
- DNS ASK ch###period.net
- DNS ASK co####eperiod.net
- DNS ASK ch####owever.net
- DNS ASK pr####talthough.net
- DNS ASK th###hunger.net
- DNS ASK cl###hunger.net
- DNS ASK th####raining.net
- DNS ASK we####rthrown.net
- DNS ASK am###tstorm.net
- DNS ASK we####rstorm.net
- DNS ASK am####thrown.net
- DNS ASK cl####raining.net
- DNS ASK th###choose.net
- DNS ASK pr####tchoose.net
- DNS ASK th####lthough.net
- DNS ASK cl###thrown.net
- DNS ASK th###storm.net
- DNS ASK cl###storm.net
- DNS ASK th###thrown.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
