Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'BranchCache Intelligent Shadow' = '<LS_APPDATA>\soirjcofuqocv\ciifnaelmzt.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\soirjcofuqocv\dqhxobckj.exe' "<LS_APPDATA>\soirjcofuqocv\ciifnaelmzt.exe"
- '<LS_APPDATA>\soirjcofuqocv\ciifnaelmzt.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\soirjcofuqocv\ciifnaelmzt.lf
- <LS_APPDATA>\soirjcofuqocv\dqhxobckj.exe
- <LS_APPDATA>\soirjcofuqocv\ciifnaelmzt.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <LS_APPDATA>\soirjcofuqocv\dqhxobckj.exe
- <LS_APPDATA>\soirjcofuqocv\ciifnaelmzt.exe
Сетевая активность:
Подключается к:
- 'he###nworth.net':80
- 'le###rworth.net':80
- 'he###round.net':80
- 'he####lossary.net':80
- 'ge###eround.net':80
- 'le####glossary.net':80
- 'he###nround.net':80
- 'he####glossary.net':80
- 'he####likely.net':80
- 'le####likely.net':80
- 're####glossary.net':80
- 'va####sglossary.net':80
- 'va####slikely.net':80
- 'va####sworth.net':80
- 're####likely.net':80
- 'ge####likely.net':80
- 'ge####glossary.net':80
- 'ge###eworth.net':80
- 're###nround.net':80
- 'va####sround.net':80
- 'le###rround.net':80
- 'pl#####tglossary.net':80
- 'ne####aryround.net':80
- 'ne#####ryglossary.net':80
- 'ne####arylikely.net':80
- 'pl####ntlikely.net':80
- 'he###likely.net':80
- 'di####ultlikely.net':80
- 'di####ultworth.net':80
- 'pl####ntround.net':80
- 'he###worth.net':80
- 'or###likely.net':80
- 're####eglossary.net':80
- 're####elikely.net':80
- 're####eworth.net':80
- 'or###worth.net':80
- 'ne####aryworth.net':80
- 'pl####ntworth.net':80
- 'or###round.net':80
- 'or####lossary.net':80
- 're####eround.net':80
TCP:
Запросы HTTP GET:
- he###nworth.net/forum/search.php?em###################################
- le###rworth.net/forum/search.php?em###################################
- he###round.net/forum/search.php?em###################################
- he####lossary.net/forum/search.php?em###################################
- ge###eround.net/forum/search.php?em###################################
- le####glossary.net/forum/search.php?em###################################
- he###nround.net/forum/search.php?em###################################
- he####glossary.net/forum/search.php?em###################################
- he####likely.net/forum/search.php?em###################################
- le####likely.net/forum/search.php?em###################################
- re####glossary.net/forum/search.php?em###################################
- va####sglossary.net/forum/search.php?em###################################
- va####slikely.net/forum/search.php?em###################################
- va####sworth.net/forum/search.php?em###################################
- re####likely.net/forum/search.php?em###################################
- ge####likely.net/forum/search.php?em###################################
- ge####glossary.net/forum/search.php?em###################################
- ge###eworth.net/forum/search.php?em###################################
- re###nround.net/forum/search.php?em###################################
- va####sround.net/forum/search.php?em###################################
- le###rround.net/forum/search.php?em###################################
- pl#####tglossary.net/forum/search.php?em###################################
- ne####aryround.net/forum/search.php?em###################################
- ne#####ryglossary.net/forum/search.php?em###################################
- ne####arylikely.net/forum/search.php?em###################################
- pl####ntlikely.net/forum/search.php?em###################################
- he###likely.net/forum/search.php?em###################################
- di####ultlikely.net/forum/search.php?em###################################
- di####ultworth.net/forum/search.php?em###################################
- pl####ntround.net/forum/search.php?em###################################
- he###worth.net/forum/search.php?em###################################
- or###likely.net/forum/search.php?em###################################
- re####eglossary.net/forum/search.php?em###################################
- re####elikely.net/forum/search.php?em###################################
- re####eworth.net/forum/search.php?em###################################
- or###worth.net/forum/search.php?em###################################
- ne####aryworth.net/forum/search.php?em###################################
- pl####ntworth.net/forum/search.php?em###################################
- or###round.net/forum/search.php?em###################################
- or####lossary.net/forum/search.php?em###################################
- re####eround.net/forum/search.php?em###################################
UDP:
- DNS ASK he###nworth.net
- DNS ASK le###rworth.net
- DNS ASK he###round.net
- DNS ASK he####lossary.net
- DNS ASK ge###eround.net
- DNS ASK le####glossary.net
- DNS ASK he###nround.net
- DNS ASK he####glossary.net
- DNS ASK he####likely.net
- DNS ASK le####likely.net
- DNS ASK ge####glossary.net
- DNS ASK va####slikely.net
- DNS ASK re####glossary.net
- DNS ASK re####likely.net
- DNS ASK re###nworth.net
- DNS ASK va####sworth.net
- DNS ASK ge###eworth.net
- DNS ASK ge####likely.net
- DNS ASK va####sround.net
- DNS ASK va####sglossary.net
- DNS ASK re###nround.net
- DNS ASK pl#####tglossary.net
- DNS ASK ne####aryround.net
- DNS ASK ne#####ryglossary.net
- DNS ASK ne####arylikely.net
- DNS ASK pl####ntlikely.net
- DNS ASK he###likely.net
- DNS ASK di####ultlikely.net
- DNS ASK di####ultworth.net
- DNS ASK pl####ntround.net
- DNS ASK he###worth.net
- DNS ASK pl####ntworth.net
- DNS ASK re####elikely.net
- DNS ASK or###likely.net
- DNS ASK or###worth.net
- DNS ASK le###rround.net
- DNS ASK re####eworth.net
- DNS ASK or###round.net
- DNS ASK ne####aryworth.net
- DNS ASK re####eround.net
- DNS ASK re####eglossary.net
- DNS ASK or####lossary.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
