Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Netlogon Web Tablet NGEN Tools' = '%APPDATA%\zwoyqciexidto\uzzwgklvin.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\zwoyqciexidto\pcrvojkgpaz.exe' "%APPDATA%\zwoyqciexidto\uzzwgklvin.exe"
- '%APPDATA%\zwoyqciexidto\uzzwgklvin.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\zwoyqciexidto\uzzwgklvin.idr
- %APPDATA%\zwoyqciexidto\pcrvojkgpaz.exe
- %APPDATA%\zwoyqciexidto\uzzwgklvin.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\zwoyqciexidto\uzzwgklvin.exe
Сетевая активность:
Подключается к:
- 'st####eperfect.net':80
- 'hi####yperfect.net':80
- 'st####emayor.net':80
- 'mo####gbattle.net':80
- 'st####eheart.net':80
- 'hi####yheart.net':80
- 'am###theart.net':80
- 'we####rheart.net':80
- 'am####perfect.net':80
- 'hi####ymayor.net':80
- 'st####ebattle.net':80
- 'hi####ybattle.net':80
- 'ra####battle.net':80
- 'tw###emayor.net':80
- 'mi####battle.net':80
- 'tw####battle.net':80
- 'mi####perfect.net':80
- 'tw####perfect.net':80
- 'mi###emayor.net':80
- 'mo####gperfect.net':80
- 'ra###rmayor.net':80
- 'mo####gmayor.net':80
- 'ra###rheart.net':80
- 'mo####gheart.net':80
- 'ra####perfect.net':80
TCP:
Запросы HTTP GET:
- st####eperfect.net/index.php?em#####################################
- hi####yperfect.net/index.php?em#####################################
- st####emayor.net/index.php?em#####################################
- mo####gbattle.net/index.php?em#####################################
- st####eheart.net/index.php?em#####################################
- hi####yheart.net/index.php?em#####################################
- am###theart.net/index.php?em#####################################
- we####rheart.net/index.php?em#####################################
- am####perfect.net/index.php?em#####################################
- hi####ymayor.net/index.php?em#####################################
- st####ebattle.net/index.php?em#####################################
- hi####ybattle.net/index.php?em#####################################
- ra####battle.net/index.php?em#####################################
- tw###emayor.net/index.php?em#####################################
- mi####battle.net/index.php?em#####################################
- tw####battle.net/index.php?em#####################################
- mi####perfect.net/index.php?em#####################################
- tw####perfect.net/index.php?em#####################################
- mi###emayor.net/index.php?em#####################################
- mo####gperfect.net/index.php?em#####################################
- ra###rmayor.net/index.php?em#####################################
- mo####gmayor.net/index.php?em#####################################
- ra###rheart.net/index.php?em#####################################
- mo####gheart.net/index.php?em#####################################
- ra####perfect.net/index.php?em#####################################
UDP:
- DNS ASK st####eperfect.net
- DNS ASK hi####yperfect.net
- DNS ASK st####emayor.net
- DNS ASK mo####gbattle.net
- DNS ASK st####eheart.net
- DNS ASK hi####yheart.net
- DNS ASK hi####ymayor.net
- DNS ASK we####rheart.net
- DNS ASK am####perfect.net
- DNS ASK we####rperfect.net
- DNS ASK st####ebattle.net
- DNS ASK hi####ybattle.net
- DNS ASK am###theart.net
- DNS ASK tw###emayor.net
- DNS ASK mi####battle.net
- DNS ASK tw####battle.net
- DNS ASK mi####perfect.net
- DNS ASK tw####perfect.net
- DNS ASK mi###emayor.net
- DNS ASK ra###rheart.net
- DNS ASK ra###rmayor.net
- DNS ASK mo####gmayor.net
- DNS ASK ra####battle.net
- DNS ASK mo####gheart.net
- DNS ASK ra####perfect.net
- DNS ASK mo####gperfect.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
