Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Tunneling Authentication' = '%APPDATA%\iczxwbpjqme\xupmthwgbb.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\iczxwbpjqme\jgjtwaqiei.exe' "%APPDATA%\iczxwbpjqme\xupmthwgbb.exe"
- '%APPDATA%\iczxwbpjqme\xupmthwgbb.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\iczxwbpjqme\xupmthwgbb.ltg
- %APPDATA%\iczxwbpjqme\jgjtwaqiei.exe
- %APPDATA%\iczxwbpjqme\xupmthwgbb.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\iczxwbpjqme\xupmthwgbb.exe
Сетевая активность:
Подключается к:
- 'pi####ebecome.net':80
- 'ci####ttecover.net':80
- 'pi####ecompany.net':80
- 'ci####ttebecome.net':80
- 'pi####efurther.net':80
- 'th####company.net':80
- 'pi####ecover.net':80
- 'ci#####tefurther.net':80
- 'ci#####tecompany.net':80
- 'fa####become.net':80
- 'ch####enbecome.net':80
- 'fa####company.net':80
- 'ch####encompany.net':80
- 'fa####further.net':80
- 'ch####enfurther.net':80
- 'fa###ycover.net':80
- 'ch####encover.net':80
- 'ri###cover.net':80
- 'wh####rcover.net':80
- 'ri###become.net':80
- 'wh####rbecome.net':80
- 'fo####ncompany.net':80
- 'su####company.net':80
- 'ri####urther.net':80
- 'wh####rfurther.net':80
- 'wh####rcompany.net':80
- 'fi####become.net':80
- 'th###hcover.net':80
- 'fi####company.net':80
- 'th####become.net':80
- 'fi####further.net':80
- 'ri####ompany.net':80
- 'fi###ecover.net':80
- 'th####further.net':80
TCP:
Запросы HTTP GET:
- pi####ebecome.net/index.php?em##########################################
- ci####ttecover.net/index.php?em##########################################
- pi####ecompany.net/index.php?em##########################################
- ci####ttebecome.net/index.php?em##########################################
- pi####efurther.net/index.php?em##########################################
- th####company.net/index.php?em##########################################
- pi####ecover.net/index.php?em##########################################
- ci#####tefurther.net/index.php?em##########################################
- ci#####tecompany.net/index.php?em##########################################
- fa####become.net/index.php?em##########################################
- ch####enbecome.net/index.php?em##########################################
- fa####company.net/index.php?em##########################################
- ch####encompany.net/index.php?em##########################################
- fa####further.net/index.php?em##########################################
- ch####enfurther.net/index.php?em##########################################
- fa###ycover.net/index.php?em##########################################
- ch####encover.net/index.php?em##########################################
- ri###cover.net/index.php?em##########################################
- wh####rcover.net/index.php?em##########################################
- ri###become.net/index.php?em##########################################
- wh####rbecome.net/index.php?em##########################################
- fo####ncompany.net/index.php?em##########################################
- su####company.net/index.php?em##########################################
- ri####urther.net/index.php?em##########################################
- wh####rfurther.net/index.php?em##########################################
- wh####rcompany.net/index.php?em##########################################
- fi####become.net/index.php?em##########################################
- th###hcover.net/index.php?em##########################################
- fi####company.net/index.php?em##########################################
- th####become.net/index.php?em##########################################
- fi####further.net/index.php?em##########################################
- ri####ompany.net/index.php?em##########################################
- fi###ecover.net/index.php?em##########################################
- th####further.net/index.php?em##########################################
UDP:
- DNS ASK pi####ebecome.net
- DNS ASK ci####ttecover.net
- DNS ASK pi####ecompany.net
- DNS ASK ci####ttebecome.net
- DNS ASK pi####efurther.net
- DNS ASK th####company.net
- DNS ASK pi####ecover.net
- DNS ASK ci#####tefurther.net
- DNS ASK ci#####tecompany.net
- DNS ASK fa####become.net
- DNS ASK ch####enbecome.net
- DNS ASK fa####company.net
- DNS ASK ch####encompany.net
- DNS ASK fa####further.net
- DNS ASK ch####enfurther.net
- DNS ASK fa###ycover.net
- DNS ASK ch####encover.net
- DNS ASK ri###cover.net
- DNS ASK wh####rcover.net
- DNS ASK ri###become.net
- DNS ASK wh####rbecome.net
- DNS ASK fo####ncompany.net
- DNS ASK su####company.net
- DNS ASK ri####urther.net
- DNS ASK wh####rfurther.net
- DNS ASK wh####rcompany.net
- DNS ASK fi####become.net
- DNS ASK th###hcover.net
- DNS ASK fi####company.net
- DNS ASK th####become.net
- DNS ASK fi####further.net
- DNS ASK ri####ompany.net
- DNS ASK fi###ecover.net
- DNS ASK th####further.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
