Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Hardware Thread Ordering Resource WLAN DLL' = '%APPDATA%\hfafiwwybipywi\rxnssewaz.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\hfafiwwybipywi\agxmyebnxo.exe' "%APPDATA%\hfafiwwybipywi\rxnssewaz.exe"
- '%APPDATA%\hfafiwwybipywi\rxnssewaz.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\hfafiwwybipywi\rxnssewaz.vky
- %APPDATA%\hfafiwwybipywi\agxmyebnxo.exe
- %APPDATA%\hfafiwwybipywi\rxnssewaz.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\hfafiwwybipywi\rxnssewaz.exe
Сетевая активность:
Подключается к:
- 'su###rclose.net':80
- 'cr###close.net':80
- 'cr###yellow.net':80
- 'cr###travel.net':80
- 'su####yellow.net':80
- 'wa###travel.net':80
- 'th####tyellow.net':80
- 'th####ttravel.net':80
- 'th####tspace.net':80
- 'wa###space.net':80
- 'su####travel.net':80
- 'kn###travel.net':80
- 'be###yellow.net':80
- 'be###travel.net':80
- 'be###space.net':80
- 'kn###space.net':80
- 'su###rspace.net':80
- 'cr###space.net':80
- 'kn###close.net':80
- 'kn###yellow.net':80
- 'be###close.net':80
- 'fi###travel.net':80
- 'pa###yellow.net':80
- 'pa###travel.net':80
- 'pa###space.net':80
- 'fi###space.net':80
- 'se####beyond.net':80
- 'la###beyond.net':80
- 'fi###close.net':80
- 'fi###yellow.net':80
- 'pa###close.net':80
- 'sm###close.net':80
- 'wo###space.net':80
- 'sm###space.net':80
- 'wa###close.net':80
- 'wa###yellow.net':80
- 'th####tclose.net':80
- 'sm###yellow.net':80
- 'wo###close.net':80
- 'wo###yellow.net':80
- 'wo###travel.net':80
- 'sm###travel.net':80
- 'me###rclose.net':80
- 'fi###third.net':80
- 'pa###object.net':80
- 'pa###third.net':80
- 'pa####tation.net':80
- 'fi####tation.net':80
- 'fr###space.net':80
- 'ex####encespace.net':80
- 'fi####hildhood.net':80
- 'fi###object.net':80
- 'pa####hildhood.net':80
- 'sm####hildhood.net':80
- 'wo####tation.net':80
- 'sm####tation.net':80
- 'wa####hildhood.net':80
- 'wa###object.net':80
- 'th#####childhood.net':80
- 'sm###object.net':80
- 'wo####hildhood.net':80
- 'wo###object.net':80
- 'wo###third.net':80
- 'sm###third.net':80
- 'fo###wspace.net':80
- 'me###rspace.net':80
- 'al####yclose.net':80
- 'al####yyellow.net':80
- 'ge####manclose.net':80
- 'me####yellow.net':80
- 'fo###wclose.net':80
- 'fo####yellow.net':80
- 'fo####travel.net':80
- 'me####travel.net':80
- 'ge####manyellow.net':80
- 'ex#####nceyellow.net':80
- 'fr###close.net':80
- 'fr###yellow.net':80
- 'fr###travel.net':80
- 'ex#####ncetravel.net':80
- 'ge####mantravel.net':80
- 'al####ytravel.net':80
- 'al####yspace.net':80
- 'ex####enceclose.net':80
- 'ge####manspace.net':80
TCP:
Запросы HTTP GET:
- su###rclose.net/index.php?em##########################################
- cr###close.net/index.php?em##########################################
- cr###yellow.net/index.php?em##########################################
- cr###travel.net/index.php?em##########################################
- su####yellow.net/index.php?em##########################################
- wa###travel.net/index.php?em##########################################
- th####tyellow.net/index.php?em##########################################
- th####ttravel.net/index.php?em##########################################
- th####tspace.net/index.php?em##########################################
- wa###space.net/index.php?em##########################################
- su####travel.net/index.php?em##########################################
- kn###travel.net/index.php?em##########################################
- be###yellow.net/index.php?em##########################################
- be###travel.net/index.php?em##########################################
- be###space.net/index.php?em##########################################
- kn###space.net/index.php?em##########################################
- su###rspace.net/index.php?em##########################################
- cr###space.net/index.php?em##########################################
- kn###close.net/index.php?em##########################################
- kn###yellow.net/index.php?em##########################################
- be###close.net/index.php?em##########################################
- fi###travel.net/index.php?em##########################################
- pa###yellow.net/index.php?em##########################################
- pa###travel.net/index.php?em##########################################
- pa###space.net/index.php?em##########################################
- fi###space.net/index.php?em##########################################
- se####beyond.net/index.php?em##########################################
- la###beyond.net/index.php?em##########################################
- fi###close.net/index.php?em##########################################
- fi###yellow.net/index.php?em##########################################
- pa###close.net/index.php?em##########################################
- sm###close.net/index.php?em##########################################
- wo###space.net/index.php?em##########################################
- sm###space.net/index.php?em##########################################
- wa###close.net/index.php?em##########################################
- wa###yellow.net/index.php?em##########################################
- th####tclose.net/index.php?em##########################################
- sm###yellow.net/index.php?em##########################################
- wo###close.net/index.php?em##########################################
- wo###yellow.net/index.php?em##########################################
- wo###travel.net/index.php?em##########################################
- sm###travel.net/index.php?em##########################################
- me###rclose.net/index.php?em##########################################
- fi###third.net/index.php?em##########################################
- pa###object.net/index.php?em##########################################
- pa###third.net/index.php?em##########################################
- pa####tation.net/index.php?em##########################################
- fi####tation.net/index.php?em##########################################
- fr###space.net/index.php?em##########################################
- ex####encespace.net/index.php?em##########################################
- fi####hildhood.net/index.php?em##########################################
- fi###object.net/index.php?em##########################################
- pa####hildhood.net/index.php?em##########################################
- sm####hildhood.net/index.php?em##########################################
- wo####tation.net/index.php?em##########################################
- sm####tation.net/index.php?em##########################################
- wa####hildhood.net/index.php?em##########################################
- wa###object.net/index.php?em##########################################
- th#####childhood.net/index.php?em##########################################
- sm###object.net/index.php?em##########################################
- wo####hildhood.net/index.php?em##########################################
- wo###object.net/index.php?em##########################################
- wo###third.net/index.php?em##########################################
- sm###third.net/index.php?em##########################################
- fo###wspace.net/index.php?em##########################################
- me###rspace.net/index.php?em##########################################
- al####yclose.net/index.php?em##########################################
- al####yyellow.net/index.php?em##########################################
- ge####manclose.net/index.php?em##########################################
- me####yellow.net/index.php?em##########################################
- fo###wclose.net/index.php?em##########################################
- fo####yellow.net/index.php?em##########################################
- fo####travel.net/index.php?em##########################################
- me####travel.net/index.php?em##########################################
- ge####manyellow.net/index.php?em##########################################
- ex#####nceyellow.net/index.php?em##########################################
- fr###close.net/index.php?em##########################################
- fr###yellow.net/index.php?em##########################################
- fr###travel.net/index.php?em##########################################
- ex#####ncetravel.net/index.php?em##########################################
- ge####mantravel.net/index.php?em##########################################
- al####ytravel.net/index.php?em##########################################
- al####yspace.net/index.php?em##########################################
- ex####enceclose.net/index.php?em##########################################
- ge####manspace.net/index.php?em##########################################
UDP:
- DNS ASK su###rclose.net
- DNS ASK cr###close.net
- DNS ASK cr###yellow.net
- DNS ASK cr###travel.net
- DNS ASK su####yellow.net
- DNS ASK wa###travel.net
- DNS ASK th####tyellow.net
- DNS ASK th####ttravel.net
- DNS ASK th####tspace.net
- DNS ASK wa###space.net
- DNS ASK su####travel.net
- DNS ASK kn###travel.net
- DNS ASK be###yellow.net
- DNS ASK be###travel.net
- DNS ASK be###space.net
- DNS ASK kn###space.net
- DNS ASK su###rspace.net
- DNS ASK cr###space.net
- DNS ASK kn###close.net
- DNS ASK kn###yellow.net
- DNS ASK be###close.net
- DNS ASK fi###travel.net
- DNS ASK pa###yellow.net
- DNS ASK pa###travel.net
- DNS ASK pa###space.net
- DNS ASK fi###space.net
- DNS ASK se####beyond.net
- DNS ASK la###beyond.net
- DNS ASK fi###close.net
- DNS ASK fi###yellow.net
- DNS ASK pa###close.net
- DNS ASK sm###close.net
- DNS ASK wo###space.net
- DNS ASK sm###space.net
- DNS ASK wa###close.net
- DNS ASK wa###yellow.net
- DNS ASK th####tclose.net
- DNS ASK sm###yellow.net
- DNS ASK wo###close.net
- DNS ASK wo###yellow.net
- DNS ASK wo###travel.net
- DNS ASK sm###travel.net
- DNS ASK me###rclose.net
- DNS ASK fi###third.net
- DNS ASK pa###object.net
- DNS ASK pa###third.net
- DNS ASK pa####tation.net
- DNS ASK fi####tation.net
- DNS ASK fr###space.net
- DNS ASK ex####encespace.net
- DNS ASK fi####hildhood.net
- DNS ASK fi###object.net
- DNS ASK pa####hildhood.net
- DNS ASK sm####hildhood.net
- DNS ASK wo####tation.net
- DNS ASK sm####tation.net
- DNS ASK wa####hildhood.net
- DNS ASK wa###object.net
- DNS ASK th#####childhood.net
- DNS ASK sm###object.net
- DNS ASK wo####hildhood.net
- DNS ASK wo###object.net
- DNS ASK wo###third.net
- DNS ASK sm###third.net
- DNS ASK fo###wspace.net
- DNS ASK me###rspace.net
- DNS ASK al####yclose.net
- DNS ASK al####yyellow.net
- DNS ASK ge####manclose.net
- DNS ASK me####yellow.net
- DNS ASK fo###wclose.net
- DNS ASK fo####yellow.net
- DNS ASK fo####travel.net
- DNS ASK me####travel.net
- DNS ASK ge####manyellow.net
- DNS ASK ex#####nceyellow.net
- DNS ASK fr###close.net
- DNS ASK fr###yellow.net
- DNS ASK fr###travel.net
- DNS ASK ex#####ncetravel.net
- DNS ASK ge####mantravel.net
- DNS ASK al####ytravel.net
- DNS ASK al####yspace.net
- DNS ASK ex####enceclose.net
- DNS ASK ge####manspace.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
