Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Location Offline Virtual VC COM Color' = '%APPDATA%\eoxbajbwpfwz\akbdfwm.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\eoxbajbwpfwz\ikjcodmxqkna.exe' "%APPDATA%\eoxbajbwpfwz\akbdfwm.exe"
- '%APPDATA%\eoxbajbwpfwz\akbdfwm.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\eoxbajbwpfwz\akbdfwm.za7
- %APPDATA%\eoxbajbwpfwz\ikjcodmxqkna.exe
- %APPDATA%\eoxbajbwpfwz\akbdfwm.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\eoxbajbwpfwz\akbdfwm.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'jo####yalmost.net':80
- 'cl###every.net':80
- 'hu####dalmost.net':80
- 'hu####dreason.net':80
- 'jo####yreason.net':80
- 'th###every.net':80
- 'th###charge.net':80
- 'cl###single.net':80
- 'cl###charge.net':80
- 'cl####ifference.net':80
- 'th####ifference.net':80
- 'jo####yorderly.net':80
- 'de####yorderly.net':80
- 'li####reason.net':80
- 'li####orderly.net':80
- 'li###evalue.net':80
- 'de####yvalue.net':80
- 'de####yreason.net':80
- 'jo####yvalue.net':80
- 'hu####dorderly.net':80
- 'hu####dvalue.net':80
- 'li####almost.net':80
- 'de####yalmost.net':80
- 'hi####ysingle.net':80
- 'st####esingle.net':80
- 'st####echarge.net':80
- 'st#####difference.net':80
- 'hi####ycharge.net':80
- 'mo####gevery.net':80
- 'mo####gcharge.net':80
- 'ra####charge.net':80
- 'ra#####ifference.net':80
- 'ra###revery.net':80
- 'mo#####difference.net':80
- 'hi#####difference.net':80
- 'we#####difference.net':80
- 'am#####ifference.net':80
- 'am###tevery.net':80
- 'th###single.net':80
- 'we####revery.net':80
- 'we####rcharge.net':80
- 'hi####yevery.net':80
- 'st####eevery.net':80
- 'am####single.net':80
- 'am####charge.net':80
- 'we####rsingle.net':80
TCP:
Запросы HTTP GET:
- jo####yalmost.net/index.php?em#####################################
- cl###every.net/index.php?em#####################################
- hu####dalmost.net/index.php?em#####################################
- hu####dreason.net/index.php?em#####################################
- jo####yreason.net/index.php?em#####################################
- th###every.net/index.php?em#####################################
- th###charge.net/index.php?em#####################################
- cl###single.net/index.php?em#####################################
- cl###charge.net/index.php?em#####################################
- cl####ifference.net/index.php?em#####################################
- th####ifference.net/index.php?em#####################################
- jo####yorderly.net/index.php?em#####################################
- de####yorderly.net/index.php?em#####################################
- li####reason.net/index.php?em#####################################
- li####orderly.net/index.php?em#####################################
- li###evalue.net/index.php?em#####################################
- de####yvalue.net/index.php?em#####################################
- de####yreason.net/index.php?em#####################################
- jo####yvalue.net/index.php?em#####################################
- hu####dorderly.net/index.php?em#####################################
- hu####dvalue.net/index.php?em#####################################
- li####almost.net/index.php?em#####################################
- de####yalmost.net/index.php?em#####################################
- hi####ysingle.net/index.php?em#####################################
- st####esingle.net/index.php?em#####################################
- st####echarge.net/index.php?em#####################################
- st#####difference.net/index.php?em#####################################
- hi####ycharge.net/index.php?em#####################################
- mo####gevery.net/index.php?em#####################################
- mo####gcharge.net/index.php?em#####################################
- ra####charge.net/index.php?em#####################################
- ra#####ifference.net/index.php?em#####################################
- ra###revery.net/index.php?em#####################################
- mo#####difference.net/index.php?em#####################################
- hi#####difference.net/index.php?em#####################################
- we#####difference.net/index.php?em#####################################
- am#####ifference.net/index.php?em#####################################
- am###tevery.net/index.php?em#####################################
- th###single.net/index.php?em#####################################
- we####revery.net/index.php?em#####################################
- we####rcharge.net/index.php?em#####################################
- hi####yevery.net/index.php?em#####################################
- st####eevery.net/index.php?em#####################################
- am####single.net/index.php?em#####################################
- am####charge.net/index.php?em#####################################
- we####rsingle.net/index.php?em#####################################
UDP:
- DNS ASK jo####yalmost.net
- DNS ASK cl###every.net
- DNS ASK hu####dalmost.net
- DNS ASK hu####dreason.net
- DNS ASK jo####yreason.net
- DNS ASK th###every.net
- DNS ASK th###charge.net
- DNS ASK cl###single.net
- DNS ASK cl###charge.net
- DNS ASK cl####ifference.net
- DNS ASK th####ifference.net
- DNS ASK jo####yorderly.net
- DNS ASK de####yorderly.net
- DNS ASK li####reason.net
- DNS ASK li####orderly.net
- DNS ASK li###evalue.net
- DNS ASK de####yvalue.net
- DNS ASK de####yreason.net
- DNS ASK jo####yvalue.net
- DNS ASK hu####dorderly.net
- DNS ASK hu####dvalue.net
- DNS ASK li####almost.net
- DNS ASK de####yalmost.net
- DNS ASK hi####ysingle.net
- DNS ASK st####esingle.net
- DNS ASK st####echarge.net
- DNS ASK st#####difference.net
- DNS ASK hi####ycharge.net
- DNS ASK mo####gevery.net
- DNS ASK mo####gcharge.net
- DNS ASK ra####charge.net
- DNS ASK ra#####ifference.net
- DNS ASK ra###revery.net
- DNS ASK mo#####difference.net
- DNS ASK hi#####difference.net
- DNS ASK we#####difference.net
- DNS ASK am#####ifference.net
- DNS ASK am###tevery.net
- DNS ASK th###single.net
- DNS ASK we####revery.net
- DNS ASK we####rcharge.net
- DNS ASK hi####yevery.net
- DNS ASK st####eevery.net
- DNS ASK am####single.net
- DNS ASK am####charge.net
- DNS ASK we####rsingle.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
