Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Modules Office Key NGEN Parental Helper' = '%APPDATA%\hevkobmm\usyoqpzlmxeg.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\hevkobmm\ygxptqajp.exe' "%APPDATA%\hevkobmm\usyoqpzlmxeg.exe"
- '%APPDATA%\hevkobmm\usyoqpzlmxeg.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\hevkobmm\usyoqpzlmxeg.bft
- %APPDATA%\hevkobmm\ygxptqajp.exe
- %APPDATA%\hevkobmm\usyoqpzlmxeg.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\hevkobmm\usyoqpzlmxeg.exe
Сетевая активность:
Подключается к:
- 'ef###twrite.net':80
- 'th####hwrite.net':80
- 'th####hniece.net':80
- 'th####hspeak.net':80
- 'ef###tniece.net':80
- 'in####sespeak.net':80
- 'fo###tniece.net':80
- 'fo###tspeak.net':80
- 'ef####oclock.net':80
- 'th####hoclock.net':80
- 'wi###nniece.net':80
- 'su###rniece.net':80
- 'su###rspeak.net':80
- 'th###oclock.net':80
- 'wi###nspeak.net':80
- 'su####oclock.net':80
- 'ef###tspeak.net':80
- 'wi####oclock.net':80
- 'wi###nwrite.net':80
- 'su###rwrite.net':80
- 'in####seniece.net':80
- 'fo#####understand.net':80
- 'de###ebroad.net':80
- 'de#####nderstand.net':80
- 'wo###oclock.net':80
- 're####eroclock.net':80
- 'de####butter.net':80
- 'fo####dbutter.net':80
- 'fo####dbehind.net':80
- 'fo####dbroad.net':80
- 'de####behind.net':80
- 'in####seoclock.net':80
- 'wo###speak.net':80
- 'fo####oclock.net':80
- 'fo###twrite.net':80
- 'in####sewrite.net':80
- 'wo###write.net':80
- 're####erwrite.net':80
- 're####erniece.net':80
- 're####erspeak.net':80
- 'wo###niece.net':80
- 'ch###oclock.net':80
- 'jo####yniece.net':80
- 'hu####dniece.net':80
- 'hu####dspeak.net':80
- 're####erbrought.net':80
- 'jo####yspeak.net':80
- 'hu####doclock.net':80
- 'de####yspeak.net':80
- 'jo####yoclock.net':80
- 'jo####ywrite.net':80
- 'hu####dwrite.net':80
- 'wo###method.net':80
- 're####ermethod.net':80
- 'in####sebrought.net':80
- 'in####sedirect.net':80
- 'fo####brought.net':80
- 're####erdirect.net':80
- 'wo####rought.net':80
- 'wo###direct.net':80
- 'wo###action.net':80
- 're####eraction.net':80
- 'li###espeak.net':80
- 'be####oclock.net':80
- 'ch###speak.net':80
- 'ri####oclock.net':80
- 'ri###nwrite.net':80
- 'be###gwrite.net':80
- 'ch###write.net':80
- 'th###write.net':80
- 'th###niece.net':80
- 'th###speak.net':80
- 'ch###niece.net':80
- 'li###ewrite.net':80
- 'de####yoclock.net':80
- 'de####ywrite.net':80
- 'de####yniece.net':80
- 'li###eniece.net':80
- 'ri###nniece.net':80
- 'be###gniece.net':80
- 'be###gspeak.net':80
- 'li####oclock.net':80
- 'ri###nspeak.net':80
TCP:
Запросы HTTP GET:
- ef###twrite.net/index.php?em######################################
- th####hwrite.net/index.php?em######################################
- th####hniece.net/index.php?em######################################
- th####hspeak.net/index.php?em######################################
- ef###tniece.net/index.php?em######################################
- in####sespeak.net/index.php?em######################################
- fo###tniece.net/index.php?em######################################
- fo###tspeak.net/index.php?em######################################
- ef####oclock.net/index.php?em######################################
- th####hoclock.net/index.php?em######################################
- wi###nniece.net/index.php?em######################################
- su###rniece.net/index.php?em######################################
- su###rspeak.net/index.php?em######################################
- th###oclock.net/index.php?em######################################
- wi###nspeak.net/index.php?em######################################
- su####oclock.net/index.php?em######################################
- ef###tspeak.net/index.php?em######################################
- wi####oclock.net/index.php?em######################################
- wi###nwrite.net/index.php?em######################################
- su###rwrite.net/index.php?em######################################
- in####seniece.net/index.php?em######################################
- fo#####understand.net/index.php?em######################################
- de###ebroad.net/index.php?em######################################
- de#####nderstand.net/index.php?em######################################
- wo###oclock.net/index.php?em######################################
- re####eroclock.net/index.php?em######################################
- de####butter.net/index.php?em######################################
- fo####dbutter.net/index.php?em######################################
- fo####dbehind.net/index.php?em######################################
- fo####dbroad.net/index.php?em######################################
- de####behind.net/index.php?em######################################
- in####seoclock.net/index.php?em######################################
- wo###speak.net/index.php?em######################################
- fo####oclock.net/index.php?em######################################
- fo###twrite.net/index.php?em######################################
- in####sewrite.net/index.php?em######################################
- wo###write.net/index.php?em######################################
- re####erwrite.net/index.php?em######################################
- re####erniece.net/index.php?em######################################
- re####erspeak.net/index.php?em######################################
- wo###niece.net/index.php?em######################################
- ch###oclock.net/index.php?em######################################
- jo####yniece.net/index.php?em######################################
- hu####dniece.net/index.php?em######################################
- hu####dspeak.net/index.php?em######################################
- re####erbrought.net/index.php?em######################################
- jo####yspeak.net/index.php?em######################################
- hu####doclock.net/index.php?em######################################
- de####yspeak.net/index.php?em######################################
- jo####yoclock.net/index.php?em######################################
- jo####ywrite.net/index.php?em######################################
- hu####dwrite.net/index.php?em######################################
- wo###method.net/index.php?em######################################
- re####ermethod.net/index.php?em######################################
- in####sebrought.net/index.php?em######################################
- in####sedirect.net/index.php?em######################################
- fo####brought.net/index.php?em######################################
- re####erdirect.net/index.php?em######################################
- wo####rought.net/index.php?em######################################
- wo###direct.net/index.php?em######################################
- wo###action.net/index.php?em######################################
- re####eraction.net/index.php?em######################################
- li###espeak.net/index.php?em######################################
- be####oclock.net/index.php?em######################################
- ch###speak.net/index.php?em######################################
- ri####oclock.net/index.php?em######################################
- ri###nwrite.net/index.php?em######################################
- be###gwrite.net/index.php?em######################################
- ch###write.net/index.php?em######################################
- th###write.net/index.php?em######################################
- th###niece.net/index.php?em######################################
- th###speak.net/index.php?em######################################
- ch###niece.net/index.php?em######################################
- li###ewrite.net/index.php?em######################################
- de####yoclock.net/index.php?em######################################
- de####ywrite.net/index.php?em######################################
- de####yniece.net/index.php?em######################################
- li###eniece.net/index.php?em######################################
- ri###nniece.net/index.php?em######################################
- be###gniece.net/index.php?em######################################
- be###gspeak.net/index.php?em######################################
- li####oclock.net/index.php?em######################################
- ri###nspeak.net/index.php?em######################################
UDP:
- DNS ASK ef###twrite.net
- DNS ASK th####hwrite.net
- DNS ASK th####hniece.net
- DNS ASK th####hspeak.net
- DNS ASK ef###tniece.net
- DNS ASK in####sespeak.net
- DNS ASK fo###tniece.net
- DNS ASK fo###tspeak.net
- DNS ASK ef####oclock.net
- DNS ASK th####hoclock.net
- DNS ASK wi###nniece.net
- DNS ASK su###rniece.net
- DNS ASK su###rspeak.net
- DNS ASK th###oclock.net
- DNS ASK wi###nspeak.net
- DNS ASK su####oclock.net
- DNS ASK ef###tspeak.net
- DNS ASK wi####oclock.net
- DNS ASK wi###nwrite.net
- DNS ASK su###rwrite.net
- DNS ASK in####seniece.net
- DNS ASK fo#####understand.net
- DNS ASK de###ebroad.net
- DNS ASK de#####nderstand.net
- DNS ASK wo###oclock.net
- DNS ASK re####eroclock.net
- DNS ASK de####butter.net
- DNS ASK fo####dbutter.net
- DNS ASK fo####dbehind.net
- DNS ASK fo####dbroad.net
- DNS ASK de####behind.net
- DNS ASK in####seoclock.net
- DNS ASK wo###speak.net
- DNS ASK fo####oclock.net
- DNS ASK fo###twrite.net
- DNS ASK in####sewrite.net
- DNS ASK wo###write.net
- DNS ASK re####erwrite.net
- DNS ASK re####erniece.net
- DNS ASK re####erspeak.net
- DNS ASK wo###niece.net
- DNS ASK ch###oclock.net
- DNS ASK jo####yniece.net
- DNS ASK hu####dniece.net
- DNS ASK hu####dspeak.net
- DNS ASK re####erbrought.net
- DNS ASK jo####yspeak.net
- DNS ASK hu####doclock.net
- DNS ASK de####yspeak.net
- DNS ASK jo####yoclock.net
- DNS ASK jo####ywrite.net
- DNS ASK hu####dwrite.net
- DNS ASK wo###method.net
- DNS ASK re####ermethod.net
- DNS ASK in####sebrought.net
- DNS ASK in####sedirect.net
- DNS ASK fo####brought.net
- DNS ASK re####erdirect.net
- DNS ASK wo####rought.net
- DNS ASK wo###direct.net
- DNS ASK wo###action.net
- DNS ASK re####eraction.net
- DNS ASK li###espeak.net
- DNS ASK be####oclock.net
- DNS ASK ch###speak.net
- DNS ASK ri####oclock.net
- DNS ASK ri###nwrite.net
- DNS ASK be###gwrite.net
- DNS ASK ch###write.net
- DNS ASK th###write.net
- DNS ASK th###niece.net
- DNS ASK th###speak.net
- DNS ASK ch###niece.net
- DNS ASK li###ewrite.net
- DNS ASK de####yoclock.net
- DNS ASK de####ywrite.net
- DNS ASK de####yniece.net
- DNS ASK li###eniece.net
- DNS ASK ri###nniece.net
- DNS ASK be###gniece.net
- DNS ASK be###gspeak.net
- DNS ASK li####oclock.net
- DNS ASK ri###nspeak.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
