Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'IP Sharing Transaction Microsoft System' = '%APPDATA%\iugovpya\jpeomua.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\iugovpya\ohdqfszmk.exe' "%APPDATA%\iugovpya\jpeomua.exe"
- '%APPDATA%\iugovpya\jpeomua.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\iugovpya\jpeomua.fy
- %APPDATA%\iugovpya\ohdqfszmk.exe
- %APPDATA%\iugovpya\jpeomua.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\iugovpya\jpeomua.exe
Удаляет следующие файлы:
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'ch###almost.net':80
- 'pr####tvalue.net':80
- 'co####ealmost.net':80
- 'co####ereason.net':80
- 'ch###reason.net':80
- 'th###value.net':80
- 'th###reason.net':80
- 'pr####talmost.net':80
- 'pr####treason.net':80
- 'pr####torderly.net':80
- 'th####rderly.net':80
- 'al###reason.net':80
- 'of###reason.net':80
- 'of####rderly.net':80
- 'of###value.net':80
- 'al####rderly.net':80
- 'al###almost.net':80
- 'co####eorderly.net':80
- 'ch####rderly.net':80
- 'ch###value.net':80
- 'of###almost.net':80
- 'co####evalue.net':80
- 'fl####erfect.net':80
- 'br###heart.net':80
- 'br####erfect.net':80
- 'br###mayor.net':80
- 'fl###mayor.net':80
- 'fl###heart.net':80
- 'be###rmayor.net':80
- 'ga####perfect.net':80
- 'ga###rmayor.net':80
- 'ga####battle.net':80
- 'be####battle.net':80
- 'se###nmayor.net':80
- 'qu###mayor.net':80
- 'qu###battle.net':80
- 'th###almost.net':80
- 'se####battle.net':80
- 'se####perfect.net':80
- 'br###battle.net':80
- 'fl###battle.net':80
- 'qu###heart.net':80
- 'qu####erfect.net':80
- 'se###nheart.net':80
TCP:
Запросы HTTP GET:
- ch###almost.net/index.php?em######################################
- pr####tvalue.net/index.php?em######################################
- co####ealmost.net/index.php?em######################################
- co####ereason.net/index.php?em######################################
- ch###reason.net/index.php?em######################################
- th###value.net/index.php?em######################################
- th###reason.net/index.php?em######################################
- pr####talmost.net/index.php?em######################################
- pr####treason.net/index.php?em######################################
- pr####torderly.net/index.php?em######################################
- th####rderly.net/index.php?em######################################
- al###reason.net/index.php?em######################################
- of###reason.net/index.php?em######################################
- of####rderly.net/index.php?em######################################
- of###value.net/index.php?em######################################
- al####rderly.net/index.php?em######################################
- al###almost.net/index.php?em######################################
- co####eorderly.net/index.php?em######################################
- ch####rderly.net/index.php?em######################################
- ch###value.net/index.php?em######################################
- of###almost.net/index.php?em######################################
- co####evalue.net/index.php?em######################################
- fl####erfect.net/index.php?em######################################
- br###heart.net/index.php?em######################################
- br####erfect.net/index.php?em######################################
- br###mayor.net/index.php?em######################################
- fl###mayor.net/index.php?em######################################
- fl###heart.net/index.php?em######################################
- be###rmayor.net/index.php?em######################################
- ga####perfect.net/index.php?em######################################
- ga###rmayor.net/index.php?em######################################
- ga####battle.net/index.php?em######################################
- be####battle.net/index.php?em######################################
- se###nmayor.net/index.php?em######################################
- qu###mayor.net/index.php?em######################################
- qu###battle.net/index.php?em######################################
- th###almost.net/index.php?em######################################
- se####battle.net/index.php?em######################################
- se####perfect.net/index.php?em######################################
- br###battle.net/index.php?em######################################
- fl###battle.net/index.php?em######################################
- qu###heart.net/index.php?em######################################
- qu####erfect.net/index.php?em######################################
- se###nheart.net/index.php?em######################################
UDP:
- DNS ASK co####ealmost.net
- DNS ASK ch###almost.net
- DNS ASK ch###reason.net
- DNS ASK ch####rderly.net
- DNS ASK co####ereason.net
- DNS ASK pr####tvalue.net
- DNS ASK pr####treason.net
- DNS ASK th###reason.net
- DNS ASK th####rderly.net
- DNS ASK th###value.net
- DNS ASK pr####torderly.net
- DNS ASK of####rderly.net
- DNS ASK al###reason.net
- DNS ASK al####rderly.net
- DNS ASK al###value.net
- DNS ASK of###value.net
- DNS ASK of###reason.net
- DNS ASK ch###value.net
- DNS ASK co####eorderly.net
- DNS ASK co####evalue.net
- DNS ASK al###almost.net
- DNS ASK of###almost.net
- DNS ASK pr####talmost.net
- DNS ASK fl####erfect.net
- DNS ASK br###heart.net
- DNS ASK br####erfect.net
- DNS ASK br###mayor.net
- DNS ASK fl###mayor.net
- DNS ASK fl###heart.net
- DNS ASK be###rmayor.net
- DNS ASK ga####perfect.net
- DNS ASK ga###rmayor.net
- DNS ASK ga####battle.net
- DNS ASK be####battle.net
- DNS ASK se###nmayor.net
- DNS ASK qu###mayor.net
- DNS ASK qu###battle.net
- DNS ASK th###almost.net
- DNS ASK se####battle.net
- DNS ASK se####perfect.net
- DNS ASK br###battle.net
- DNS ASK fl###battle.net
- DNS ASK qu###heart.net
- DNS ASK qu####erfect.net
- DNS ASK se###nheart.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
