Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Plug Installer User-mode Files' = '%APPDATA%\fsrhomhfpdbrlod\aqdvvcinlwm.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\fsrhomhfpdbrlod\pydckkqfeygy.exe' "%APPDATA%\fsrhomhfpdbrlod\aqdvvcinlwm.exe"
- '%APPDATA%\fsrhomhfpdbrlod\aqdvvcinlwm.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\fsrhomhfpdbrlod\aqdvvcinlwm.uld
- %APPDATA%\fsrhomhfpdbrlod\pydckkqfeygy.exe
- %APPDATA%\fsrhomhfpdbrlod\aqdvvcinlwm.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\fsrhomhfpdbrlod\pydckkqfeygy.exe
- %APPDATA%\fsrhomhfpdbrlod\aqdvvcinlwm.exe
Сетевая активность:
Подключается к:
- 'br###square.net':80
- 'fl###square.net':80
- 'br####eighbor.net':80
- 'fl####eighbor.net':80
- 'ga####spread.net':80
- 'be####spread.net':80
- 'br####ttempt.net':80
- 'fl####ttempt.net':80
- 'se####square.net':80
- 'qu###square.net':80
- 'se####neighbor.net':80
- 'qu####eighbor.net':80
- 'br###spread.net':80
- 'fl###spread.net':80
- 'se####attempt.net':80
- 'qu####ttempt.net':80
- 'tr###square.net':80
- 'st####square.net':80
- 'tr####eighbor.net':80
- 'st####neighbor.net':80
- 'el####icspread.net':80
- 're####spread.net':80
- 'tr####ttempt.net':80
- 'st####attempt.net':80
- 'ga####square.net':80
- 'be####square.net':80
- 'ga####neighbor.net':80
- 'be####neighbor.net':80
- 'tr###spread.net':80
- 'st####spread.net':80
- 'ga####attempt.net':80
- 'be####attempt.net':80
TCP:
Запросы HTTP GET:
- br###square.net/forum/search.php?em#####################################
- fl###square.net/forum/search.php?em#####################################
- br####eighbor.net/forum/search.php?em#####################################
- fl####eighbor.net/forum/search.php?em#####################################
- ga####spread.net/forum/search.php?em#####################################
- be####spread.net/forum/search.php?em#####################################
- br####ttempt.net/forum/search.php?em#####################################
- fl####ttempt.net/forum/search.php?em#####################################
- se####square.net/forum/search.php?em#####################################
- qu###square.net/forum/search.php?em#####################################
- se####neighbor.net/forum/search.php?em#####################################
- qu####eighbor.net/forum/search.php?em#####################################
- br###spread.net/forum/search.php?em#####################################
- fl###spread.net/forum/search.php?em#####################################
- se####attempt.net/forum/search.php?em#####################################
- qu####ttempt.net/forum/search.php?em#####################################
- tr###square.net/forum/search.php?em#####################################
- st####square.net/forum/search.php?em#####################################
- tr####eighbor.net/forum/search.php?em#####################################
- st####neighbor.net/forum/search.php?em#####################################
- el####icspread.net/forum/search.php?em#####################################
- re####spread.net/forum/search.php?em#####################################
- tr####ttempt.net/forum/search.php?em#####################################
- st####attempt.net/forum/search.php?em#####################################
- ga####square.net/forum/search.php?em#####################################
- be####square.net/forum/search.php?em#####################################
- ga####neighbor.net/forum/search.php?em#####################################
- be####neighbor.net/forum/search.php?em#####################################
- tr###spread.net/forum/search.php?em#####################################
- st####spread.net/forum/search.php?em#####################################
- ga####attempt.net/forum/search.php?em#####################################
- be####attempt.net/forum/search.php?em#####################################
UDP:
- DNS ASK fl####eighbor.net
- DNS ASK br###square.net
- DNS ASK fl###spread.net
- DNS ASK br####eighbor.net
- DNS ASK fl####ttempt.net
- DNS ASK ga####spread.net
- DNS ASK fl###square.net
- DNS ASK br####ttempt.net
- DNS ASK qu####eighbor.net
- DNS ASK se####square.net
- DNS ASK qu###spread.net
- DNS ASK se####neighbor.net
- DNS ASK qu####ttempt.net
- DNS ASK br###spread.net
- DNS ASK qu###square.net
- DNS ASK se####attempt.net
- DNS ASK be####spread.net
- DNS ASK tr###square.net
- DNS ASK st####square.net
- DNS ASK tr####eighbor.net
- DNS ASK st####neighbor.net
- DNS ASK el####icspread.net
- DNS ASK re####spread.net
- DNS ASK tr####ttempt.net
- DNS ASK st####attempt.net
- DNS ASK ga####square.net
- DNS ASK be####square.net
- DNS ASK ga####neighbor.net
- DNS ASK be####neighbor.net
- DNS ASK tr###spread.net
- DNS ASK st####spread.net
- DNS ASK ga####attempt.net
- DNS ASK be####attempt.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
