Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Storage Background AutoConfig Encrypting CNG Error' = '%APPDATA%\mwwsstqocthob\smijmga.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\mwwsstqocthob\rbsyiprxwioo.exe' "%APPDATA%\mwwsstqocthob\smijmga.exe"
- '%APPDATA%\mwwsstqocthob\smijmga.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\mwwsstqocthob\smijmga.bxd0o
- %APPDATA%\mwwsstqocthob\rbsyiprxwioo.exe
- %APPDATA%\mwwsstqocthob\smijmga.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\mwwsstqocthob\smijmga.exe
Сетевая активность:
Подключается к:
- 'he####article.net':80
- 'he###dried.net':80
- 'ge###edried.net':80
- 'le###rangry.net':80
- 'he###nangry.net':80
- 'le####article.net':80
- 'ge###eangry.net':80
- 'he####rticle.net':80
- 'ge####article.net':80
- 'he####ifteen.net':80
- 'ge####fifteen.net':80
- 'he###angry.net':80
- 'he####fifteen.net':80
- 'or####ifteen.net':80
- 're####efifteen.net':80
- 'or###angry.net':80
- 'ne#####ryarticle.net':80
- 'or###dried.net':80
- 're####edried.net':80
- 'le###rdried.net':80
- 'he###ndried.net':80
- 'le####fifteen.net':80
- 're####eangry.net':80
- 'or####rticle.net':80
- 're####earticle.net':80
TCP:
Запросы HTTP GET:
- he####article.net/index.php?em########################################
- he###dried.net/index.php?em########################################
- ge###edried.net/index.php?em########################################
- le###rangry.net/index.php?em########################################
- he###nangry.net/index.php?em########################################
- le####article.net/index.php?em########################################
- ge###eangry.net/index.php?em########################################
- he####rticle.net/index.php?em########################################
- ge####article.net/index.php?em########################################
- he####ifteen.net/index.php?em########################################
- ge####fifteen.net/index.php?em########################################
- he###angry.net/index.php?em########################################
- he####fifteen.net/index.php?em########################################
- or####ifteen.net/index.php?em########################################
- re####efifteen.net/index.php?em########################################
- or###angry.net/index.php?em########################################
- ne#####ryarticle.net/index.php?em########################################
- or###dried.net/index.php?em########################################
- re####edried.net/index.php?em########################################
- le###rdried.net/index.php?em########################################
- he###ndried.net/index.php?em########################################
- le####fifteen.net/index.php?em########################################
- re####eangry.net/index.php?em########################################
- or####rticle.net/index.php?em########################################
- re####earticle.net/index.php?em########################################
UDP:
- DNS ASK he####article.net
- DNS ASK he###dried.net
- DNS ASK ge###edried.net
- DNS ASK le###rangry.net
- DNS ASK he###nangry.net
- DNS ASK le####article.net
- DNS ASK ge###eangry.net
- DNS ASK he####rticle.net
- DNS ASK ge####article.net
- DNS ASK he####ifteen.net
- DNS ASK ge####fifteen.net
- DNS ASK he###angry.net
- DNS ASK he####fifteen.net
- DNS ASK or####ifteen.net
- DNS ASK re####efifteen.net
- DNS ASK or###angry.net
- DNS ASK ne#####ryarticle.net
- DNS ASK or###dried.net
- DNS ASK re####edried.net
- DNS ASK le###rdried.net
- DNS ASK he###ndried.net
- DNS ASK le####fifteen.net
- DNS ASK re####eangry.net
- DNS ASK or####rticle.net
- DNS ASK re####earticle.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
