Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Ordering Encrypting Desktop Peer' = '%APPDATA%\xnxvpomgkolrt\qvcehfxshb.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\xnxvpomgkolrt\pvpzbvwokdqa.exe' "%APPDATA%\xnxvpomgkolrt\qvcehfxshb.exe"
- '%APPDATA%\xnxvpomgkolrt\qvcehfxshb.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\xnxvpomgkolrt\qvcehfxshb.wrx
- %APPDATA%\xnxvpomgkolrt\pvpzbvwokdqa.exe
- %APPDATA%\xnxvpomgkolrt\qvcehfxshb.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\xnxvpomgkolrt\qvcehfxshb.exe
Сетевая активность:
Подключается к:
- 'an####action.net':80
- 'gl###method.net':80
- 'an####direct.net':80
- 'gl###action.net':80
- 'de####brought.net':80
- 'fo####ddirect.net':80
- 'an####method.net':80
- 'fo####dbrought.net':80
- 'gl###direct.net':80
- 'he###action.net':80
- 'di####ultaction.net':80
- 'he###direct.net':80
- 'di####ultdirect.net':80
- 'gl####rought.net':80
- 'an####brought.net':80
- 'he###method.net':80
- 'di####ultmethod.net':80
- 're###nround.net':80
- 'va####sround.net':80
- 're####glossary.net':80
- 'va####sglossary.net':80
- 'ge####likely.net':80
- 'he###likely.net':80
- 'ge###eworth.net':80
- 'he###worth.net':80
- 'va####slikely.net':80
- 'de####action.net':80
- 'fo####dmethod.net':80
- 'de####direct.net':80
- 'fo####daction.net':80
- 'va####sworth.net':80
- 're####likely.net':80
- 'de####method.net':80
- 're###nworth.net':80
TCP:
Запросы HTTP GET:
- an####action.net/index.php?em###########################################
- gl###method.net/index.php?em###########################################
- an####direct.net/index.php?em###########################################
- gl###action.net/index.php?em###########################################
- de####brought.net/index.php?em###########################################
- fo####ddirect.net/index.php?em###########################################
- an####method.net/index.php?em###########################################
- fo####dbrought.net/index.php?em###########################################
- gl###direct.net/index.php?em###########################################
- he###action.net/index.php?em###########################################
- di####ultaction.net/index.php?em###########################################
- he###direct.net/index.php?em###########################################
- di####ultdirect.net/index.php?em###########################################
- gl####rought.net/index.php?em###########################################
- an####brought.net/index.php?em###########################################
- he###method.net/index.php?em###########################################
- di####ultmethod.net/index.php?em###########################################
- re###nround.net/index.php?em###########################################
- va####sround.net/index.php?em###########################################
- re####glossary.net/index.php?em###########################################
- va####sglossary.net/index.php?em###########################################
- ge####likely.net/index.php?em###########################################
- he###likely.net/index.php?em###########################################
- ge###eworth.net/index.php?em###########################################
- he###worth.net/index.php?em###########################################
- va####slikely.net/index.php?em###########################################
- de####action.net/index.php?em###########################################
- fo####dmethod.net/index.php?em###########################################
- de####direct.net/index.php?em###########################################
- fo####daction.net/index.php?em###########################################
- va####sworth.net/index.php?em###########################################
- re####likely.net/index.php?em###########################################
- de####method.net/index.php?em###########################################
- re###nworth.net/index.php?em###########################################
UDP:
- DNS ASK an####action.net
- DNS ASK gl###method.net
- DNS ASK an####direct.net
- DNS ASK gl###action.net
- DNS ASK de####brought.net
- DNS ASK fo####ddirect.net
- DNS ASK an####method.net
- DNS ASK fo####dbrought.net
- DNS ASK gl###direct.net
- DNS ASK he###action.net
- DNS ASK di####ultaction.net
- DNS ASK he###direct.net
- DNS ASK di####ultdirect.net
- DNS ASK gl####rought.net
- DNS ASK an####brought.net
- DNS ASK he###method.net
- DNS ASK di####ultmethod.net
- DNS ASK re###nround.net
- DNS ASK va####sround.net
- DNS ASK re####glossary.net
- DNS ASK va####sglossary.net
- DNS ASK ge####likely.net
- DNS ASK he###likely.net
- DNS ASK ge###eworth.net
- DNS ASK he###worth.net
- DNS ASK va####slikely.net
- DNS ASK de####action.net
- DNS ASK fo####dmethod.net
- DNS ASK de####direct.net
- DNS ASK fo####daction.net
- DNS ASK va####sworth.net
- DNS ASK re####likely.net
- DNS ASK de####method.net
- DNS ASK re###nworth.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
