Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Font Spooler WebClient Extender' = '%APPDATA%\lglzczrjfhtvy\gfpjqrlbkgo.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\lglzczrjfhtvy\fczcsgvnpyv.exe' "%APPDATA%\lglzczrjfhtvy\gfpjqrlbkgo.exe"
- '%APPDATA%\lglzczrjfhtvy\gfpjqrlbkgo.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\lglzczrjfhtvy\gfpjqrlbkgo.qqbha
- %APPDATA%\lglzczrjfhtvy\fczcsgvnpyv.exe
- %APPDATA%\lglzczrjfhtvy\gfpjqrlbkgo.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\lglzczrjfhtvy\gfpjqrlbkgo.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'or###share.net':80
- 're####eshake.net':80
- 'le####nearly.net':80
- 're####eshare.net':80
- 'or###shake.net':80
- 're####enearly.net':80
- 'or###nearly.net':80
- 're####ehappen.net':80
- 'or###happen.net':80
- 'he####nearly.net':80
- 'ge####nearly.net':80
- 'he###nshare.net':80
- 'ge###eshake.net':80
- 'ge####happen.net':80
- 'le###rshare.net':80
- 'he####happen.net':80
- 'le####happen.net':80
- 'he###nshake.net':80
- 'le###rshake.net':80
- 'ne####aryshare.net':80
- 'di####ulthappen.net':80
- 'he###nearly.net':80
- 'di####ultshake.net':80
- 'he###happen.net':80
- 'di####ultnearly.net':80
- 'gl###shake.net':80
- 'an###rshake.net':80
- 'gl###share.net':80
- 'an###rshare.net':80
- 'he###shake.net':80
- 'pl####ntshake.net':80
- 'ne####aryhappen.net':80
- 'pl####ntshare.net':80
- 'ne####aryshake.net':80
- 'pl####nthappen.net':80
- 'he###share.net':80
- 'di####ultshare.net':80
- 'ne####arynearly.net':80
- 'pl####ntnearly.net':80
TCP:
Запросы HTTP GET:
- or###share.net/index.php?em#############################################
- re####eshake.net/index.php?em#############################################
- le####nearly.net/index.php?em#############################################
- re####eshare.net/index.php?em#############################################
- or###shake.net/index.php?em#############################################
- re####enearly.net/index.php?em#############################################
- or###nearly.net/index.php?em#############################################
- re####ehappen.net/index.php?em#############################################
- or###happen.net/index.php?em#############################################
- he####nearly.net/index.php?em#############################################
- ge####nearly.net/index.php?em#############################################
- he###nshare.net/index.php?em#############################################
- ge###eshake.net/index.php?em#############################################
- ge####happen.net/index.php?em#############################################
- le###rshare.net/index.php?em#############################################
- he####happen.net/index.php?em#############################################
- le####happen.net/index.php?em#############################################
- he###nshake.net/index.php?em#############################################
- le###rshake.net/index.php?em#############################################
- ne####aryshare.net/index.php?em#############################################
- di####ulthappen.net/index.php?em#############################################
- he###nearly.net/index.php?em#############################################
- di####ultshake.net/index.php?em#############################################
- he###happen.net/index.php?em#############################################
- di####ultnearly.net/index.php?em#############################################
- gl###shake.net/index.php?em#############################################
- an###rshake.net/index.php?em#############################################
- gl###share.net/index.php?em#############################################
- an###rshare.net/index.php?em#############################################
- he###shake.net/index.php?em#############################################
- pl####ntshake.net/index.php?em#############################################
- ne####aryhappen.net/index.php?em#############################################
- pl####ntshare.net/index.php?em#############################################
- ne####aryshake.net/index.php?em#############################################
- pl####nthappen.net/index.php?em#############################################
- he###share.net/index.php?em#############################################
- di####ultshare.net/index.php?em#############################################
- ne####arynearly.net/index.php?em#############################################
- pl####ntnearly.net/index.php?em#############################################
UDP:
- DNS ASK or###share.net
- DNS ASK re####eshake.net
- DNS ASK le####nearly.net
- DNS ASK re####eshare.net
- DNS ASK or###shake.net
- DNS ASK re####enearly.net
- DNS ASK or###nearly.net
- DNS ASK re####ehappen.net
- DNS ASK or###happen.net
- DNS ASK he####nearly.net
- DNS ASK ge####nearly.net
- DNS ASK he###nshare.net
- DNS ASK ge###eshake.net
- DNS ASK ge####happen.net
- DNS ASK le###rshare.net
- DNS ASK he####happen.net
- DNS ASK le####happen.net
- DNS ASK he###nshake.net
- DNS ASK le###rshake.net
- DNS ASK ne####aryshare.net
- DNS ASK di####ulthappen.net
- DNS ASK he###nearly.net
- DNS ASK di####ultshake.net
- DNS ASK he###happen.net
- DNS ASK di####ultnearly.net
- DNS ASK gl###shake.net
- DNS ASK an###rshake.net
- DNS ASK gl###share.net
- DNS ASK an###rshare.net
- DNS ASK he###shake.net
- DNS ASK pl####ntshake.net
- DNS ASK ne####aryhappen.net
- DNS ASK pl####ntshare.net
- DNS ASK ne####aryshake.net
- DNS ASK pl####nthappen.net
- DNS ASK he###share.net
- DNS ASK di####ultshare.net
- DNS ASK ne####arynearly.net
- DNS ASK pl####ntnearly.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
