Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Adaptive Assistant WinHTTP Firewall Player' = '%APPDATA%\rbcfcqqvl\esjsjdt.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\rbcfcqqvl\eheaanqh.exe' "%APPDATA%\rbcfcqqvl\esjsjdt.exe"
- '%APPDATA%\rbcfcqqvl\esjsjdt.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\rbcfcqqvl\esjsjdt.kkjik
- %APPDATA%\rbcfcqqvl\eheaanqh.exe
- %APPDATA%\rbcfcqqvl\esjsjdt.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\rbcfcqqvl\esjsjdt.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'de###eshare.net':80
- 'fo####dshake.net':80
- 'de###eshake.net':80
- 'gl###nearly.net':80
- 'an####nearly.net':80
- 'fo####dshare.net':80
- 'de####nearly.net':80
- 're###nriver.net':80
- 'va####sriver.net':80
- 'fo####dhappen.net':80
- 'de####happen.net':80
- 'fo####dnearly.net':80
- 'di####ulthappen.net':80
- 'he###nearly.net':80
- 'di####ultnearly.net':80
- 'he###shake.net':80
- 'di####ultshake.net':80
- 'he###happen.net':80
- 'an###rshake.net':80
- 'gl###happen.net':80
- 'an####happen.net':80
- 'gl###share.net':80
- 'an###rshare.net':80
- 'gl###shake.net':80
- 'le###rriver.net':80
- 'he####service.net':80
- 'le####service.net':80
- 'ge####mister.net':80
- 'he###mister.net':80
- 'he###nriver.net':80
- 'le####mister.net':80
- 're####eriver.net':80
- 'or###river.net':80
- 'he####suppose.net':80
- 'le####suppose.net':80
- 'he####mister.net':80
- 'va####ssuppose.net':80
- 're####mister.net':80
- 'va####smister.net':80
- 're####service.net':80
- 'va####sservice.net':80
- 're####suppose.net':80
- 'he####ervice.net':80
- 'ge####suppose.net':80
- 'he####uppose.net':80
- 'ge###eriver.net':80
- 'he###river.net':80
- 'ge####service.net':80
TCP:
Запросы HTTP GET:
- de###eshare.net/index.php?em###########################################
- fo####dshake.net/index.php?em###########################################
- de###eshake.net/index.php?em###########################################
- gl###nearly.net/index.php?em###########################################
- an####nearly.net/index.php?em###########################################
- fo####dshare.net/index.php?em###########################################
- de####nearly.net/index.php?em###########################################
- re###nriver.net/index.php?em###########################################
- va####sriver.net/index.php?em###########################################
- fo####dhappen.net/index.php?em###########################################
- de####happen.net/index.php?em###########################################
- fo####dnearly.net/index.php?em###########################################
- di####ulthappen.net/index.php?em###########################################
- he###nearly.net/index.php?em###########################################
- di####ultnearly.net/index.php?em###########################################
- he###shake.net/index.php?em###########################################
- di####ultshake.net/index.php?em###########################################
- he###happen.net/index.php?em###########################################
- an###rshake.net/index.php?em###########################################
- gl###happen.net/index.php?em###########################################
- an####happen.net/index.php?em###########################################
- gl###share.net/index.php?em###########################################
- an###rshare.net/index.php?em###########################################
- gl###shake.net/index.php?em###########################################
- le###rriver.net/index.php?em###########################################
- he####service.net/index.php?em###########################################
- le####service.net/index.php?em###########################################
- ge####mister.net/index.php?em###########################################
- he###mister.net/index.php?em###########################################
- he###nriver.net/index.php?em###########################################
- le####mister.net/index.php?em###########################################
- re####eriver.net/index.php?em###########################################
- or###river.net/index.php?em###########################################
- he####suppose.net/index.php?em###########################################
- le####suppose.net/index.php?em###########################################
- he####mister.net/index.php?em###########################################
- va####ssuppose.net/index.php?em###########################################
- re####mister.net/index.php?em###########################################
- va####smister.net/index.php?em###########################################
- re####service.net/index.php?em###########################################
- va####sservice.net/index.php?em###########################################
- re####suppose.net/index.php?em###########################################
- he####ervice.net/index.php?em###########################################
- ge####suppose.net/index.php?em###########################################
- he####uppose.net/index.php?em###########################################
- ge###eriver.net/index.php?em###########################################
- he###river.net/index.php?em###########################################
- ge####service.net/index.php?em###########################################
UDP:
- DNS ASK fo####dshare.net
- DNS ASK de###eshare.net
- DNS ASK fo####dshake.net
- DNS ASK an####happen.net
- DNS ASK gl###nearly.net
- DNS ASK an####nearly.net
- DNS ASK fo####dnearly.net
- DNS ASK de####nearly.net
- DNS ASK re###nriver.net
- DNS ASK de###eshake.net
- DNS ASK fo####dhappen.net
- DNS ASK de####happen.net
- DNS ASK he###happen.net
- DNS ASK di####ulthappen.net
- DNS ASK he###nearly.net
- DNS ASK di####ultshare.net
- DNS ASK he###shake.net
- DNS ASK di####ultshake.net
- DNS ASK gl###shake.net
- DNS ASK an###rshake.net
- DNS ASK gl###happen.net
- DNS ASK di####ultnearly.net
- DNS ASK gl###share.net
- DNS ASK an###rshare.net
- DNS ASK va####sriver.net
- DNS ASK le###rriver.net
- DNS ASK he####service.net
- DNS ASK le####service.net
- DNS ASK ge####mister.net
- DNS ASK he###mister.net
- DNS ASK he###nriver.net
- DNS ASK le####mister.net
- DNS ASK re####eriver.net
- DNS ASK or###river.net
- DNS ASK he####suppose.net
- DNS ASK le####suppose.net
- DNS ASK he####mister.net
- DNS ASK va####ssuppose.net
- DNS ASK re####mister.net
- DNS ASK va####smister.net
- DNS ASK re####service.net
- DNS ASK va####sservice.net
- DNS ASK re####suppose.net
- DNS ASK he####ervice.net
- DNS ASK ge####suppose.net
- DNS ASK he####uppose.net
- DNS ASK ge###eriver.net
- DNS ASK he###river.net
- DNS ASK ge####service.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
