Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Protection Process Adapter Credential' = '%APPDATA%\caequnwtqmc\wyyxmqkz.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\caequnwtqmc\tuiecvcl.exe' "%APPDATA%\caequnwtqmc\wyyxmqkz.exe"
- '%APPDATA%\caequnwtqmc\wyyxmqkz.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\caequnwtqmc\wyyxmqkz.aqf
- %APPDATA%\caequnwtqmc\tuiecvcl.exe
- %APPDATA%\caequnwtqmc\wyyxmqkz.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\caequnwtqmc\tuiecvcl.exe
- %APPDATA%\caequnwtqmc\wyyxmqkz.exe
Сетевая активность:
Подключается к:
- 'ma####alheart.net':80
- 'se####lperfect.net':80
- 'se####lheart.net':80
- 'sw###battle.net':80
- 'pr####lybattle.net':80
- 'ma####alperfect.net':80
- 'ma####albattle.net':80
- 'fr####nderstand.net':80
- 'se####lbattle.net':80
- 'se####lmayor.net':80
- 'ma####almayor.net':80
- 'fi####battle.net':80
- 'le###battle.net':80
- 'le###mayor.net':80
- 'le####erfect.net':80
- 'fi###hmayor.net':80
- 'sw###heart.net':80
- 'sw###mayor.net':80
- 'pr####lymayor.net':80
- 'pr####lyperfect.net':80
- 'pr####lyheart.net':80
- 'sw####erfect.net':80
TCP:
Запросы HTTP GET:
- ma####alheart.net/forum/search.php?em####################################
- se####lperfect.net/forum/search.php?em####################################
- se####lheart.net/forum/search.php?em####################################
- sw###battle.net/forum/search.php?em####################################
- pr####lybattle.net/forum/search.php?em####################################
- ma####alperfect.net/forum/search.php?em####################################
- ma####albattle.net/forum/search.php?em####################################
- fr####nderstand.net/forum/search.php?em####################################
- se####lbattle.net/forum/search.php?em####################################
- se####lmayor.net/forum/search.php?em####################################
- ma####almayor.net/forum/search.php?em####################################
- fi####battle.net/forum/search.php?em####################################
- le###battle.net/forum/search.php?em####################################
- le###mayor.net/forum/search.php?em####################################
- le####erfect.net/forum/search.php?em####################################
- fi###hmayor.net/forum/search.php?em####################################
- sw###heart.net/forum/search.php?em####################################
- sw###mayor.net/forum/search.php?em####################################
- pr####lymayor.net/forum/search.php?em####################################
- pr####lyperfect.net/forum/search.php?em####################################
- pr####lyheart.net/forum/search.php?em####################################
- sw####erfect.net/forum/search.php?em####################################
UDP:
- DNS ASK se####lperfect.net
- DNS ASK ma####alperfect.net
- DNS ASK ma####alheart.net
- DNS ASK pr####lybattle.net
- DNS ASK se####lheart.net
- DNS ASK se####lmayor.net
- DNS ASK fr####nderstand.net
- DNS ASK ex######ceunderstand.net
- DNS ASK ma####albattle.net
- DNS ASK ma####almayor.net
- DNS ASK se####lbattle.net
- DNS ASK sw###battle.net
- DNS ASK fi####battle.net
- DNS ASK le###battle.net
- DNS ASK le###mayor.net
- DNS ASK le####erfect.net
- DNS ASK fi###hmayor.net
- DNS ASK sw###heart.net
- DNS ASK sw###mayor.net
- DNS ASK pr####lymayor.net
- DNS ASK pr####lyperfect.net
- DNS ASK pr####lyheart.net
- DNS ASK sw####erfect.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
