Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Files Video Debugger NGEN Spooler' = '%APPDATA%\elscyvdnrbgrtkr\ysardaecldkn.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\elscyvdnrbgrtkr\mqvwrggv.exe' "%APPDATA%\elscyvdnrbgrtkr\ysardaecldkn.exe"
- '%APPDATA%\elscyvdnrbgrtkr\ysardaecldkn.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\elscyvdnrbgrtkr\ysardaecldkn.osk
- %APPDATA%\elscyvdnrbgrtkr\mqvwrggv.exe
- %APPDATA%\elscyvdnrbgrtkr\ysardaecldkn.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\elscyvdnrbgrtkr\ysardaecldkn.exe
Сетевая активность:
Подключается к:
- 'co####ewhite.net':80
- 'ch###white.net':80
- 'of###toward.net':80
- 'of####leasure.net':80
- 'al###toward.net':80
- 'co####emillion.net':80
- 'co####etoward.net':80
- 'ch###toward.net':80
- 'ch####leasure.net':80
- 'ch####illion.net':80
- 'co####epleasure.net':80
- 'al####leasure.net':80
- 'tw####pleasure.net':80
- 'mi####pleasure.net':80
- 'mi####million.net':80
- 'mi###ewhite.net':80
- 'tw####million.net':80
- 'tw####toward.net':80
- 'al####illion.net':80
- 'of####illion.net':80
- 'of###white.net':80
- 'mi####toward.net':80
- 'al###white.net':80
- 'th###market.net':80
- 'we####rgarden.net':80
- 'cl###market.net':80
- 'cl###report.net':80
- 'th###report.net':80
- 'am####garden.net':80
- 'am####report.net':80
- 'we####rmarket.net':80
- 'we####rreport.net':80
- 'we####rbeauty.net':80
- 'am####beauty.net':80
- 'th###beauty.net':80
- 'th####illion.net':80
- 'pr####tpleasure.net':80
- 'pr####tmillion.net':80
- 'pr####twhite.net':80
- 'th###white.net':80
- 'th####leasure.net':80
- 'th###garden.net':80
- 'cl###beauty.net':80
- 'cl###garden.net':80
- 'pr####ttoward.net':80
- 'th###toward.net':80
TCP:
Запросы HTTP GET:
- co####ewhite.net/index.php?em##############################################
- ch###white.net/index.php?em##############################################
- of###toward.net/index.php?em##############################################
- of####leasure.net/index.php?em##############################################
- al###toward.net/index.php?em##############################################
- co####emillion.net/index.php?em##############################################
- co####etoward.net/index.php?em##############################################
- ch###toward.net/index.php?em##############################################
- ch####leasure.net/index.php?em##############################################
- ch####illion.net/index.php?em##############################################
- co####epleasure.net/index.php?em##############################################
- al####leasure.net/index.php?em##############################################
- tw####pleasure.net/index.php?em##############################################
- mi####pleasure.net/index.php?em##############################################
- mi####million.net/index.php?em##############################################
- mi###ewhite.net/index.php?em##############################################
- tw####million.net/index.php?em##############################################
- tw####toward.net/index.php?em##############################################
- al####illion.net/index.php?em##############################################
- of####illion.net/index.php?em##############################################
- of###white.net/index.php?em##############################################
- mi####toward.net/index.php?em##############################################
- al###white.net/index.php?em##############################################
- th###market.net/index.php?em##############################################
- we####rgarden.net/index.php?em##############################################
- cl###market.net/index.php?em##############################################
- cl###report.net/index.php?em##############################################
- th###report.net/index.php?em##############################################
- am####garden.net/index.php?em##############################################
- am####report.net/index.php?em##############################################
- we####rmarket.net/index.php?em##############################################
- we####rreport.net/index.php?em##############################################
- we####rbeauty.net/index.php?em##############################################
- am####beauty.net/index.php?em##############################################
- th###beauty.net/index.php?em##############################################
- th####illion.net/index.php?em##############################################
- pr####tpleasure.net/index.php?em##############################################
- pr####tmillion.net/index.php?em##############################################
- pr####twhite.net/index.php?em##############################################
- th###white.net/index.php?em##############################################
- th####leasure.net/index.php?em##############################################
- th###garden.net/index.php?em##############################################
- cl###beauty.net/index.php?em##############################################
- cl###garden.net/index.php?em##############################################
- pr####ttoward.net/index.php?em##############################################
- th###toward.net/index.php?em##############################################
UDP:
- DNS ASK of###toward.net
- DNS ASK co####ewhite.net
- DNS ASK al###toward.net
- DNS ASK al####leasure.net
- DNS ASK of####leasure.net
- DNS ASK ch###white.net
- DNS ASK ch####leasure.net
- DNS ASK co####etoward.net
- DNS ASK co####epleasure.net
- DNS ASK co####emillion.net
- DNS ASK ch####illion.net
- DNS ASK of####illion.net
- DNS ASK mi####million.net
- DNS ASK tw####pleasure.net
- DNS ASK tw####million.net
- DNS ASK tw###ewhite.net
- DNS ASK mi###ewhite.net
- DNS ASK mi####pleasure.net
- DNS ASK of###white.net
- DNS ASK al####illion.net
- DNS ASK al###white.net
- DNS ASK tw####toward.net
- DNS ASK mi####toward.net
- DNS ASK ch###toward.net
- DNS ASK th###market.net
- DNS ASK we####rgarden.net
- DNS ASK cl###market.net
- DNS ASK cl###report.net
- DNS ASK th###report.net
- DNS ASK am####garden.net
- DNS ASK am####report.net
- DNS ASK we####rmarket.net
- DNS ASK we####rreport.net
- DNS ASK we####rbeauty.net
- DNS ASK am####beauty.net
- DNS ASK th###beauty.net
- DNS ASK th####illion.net
- DNS ASK pr####tpleasure.net
- DNS ASK pr####tmillion.net
- DNS ASK pr####twhite.net
- DNS ASK th###white.net
- DNS ASK th####leasure.net
- DNS ASK th###garden.net
- DNS ASK cl###beauty.net
- DNS ASK cl###garden.net
- DNS ASK pr####ttoward.net
- DNS ASK th###toward.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
