Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Protected Controls Search Secure Media' = '%APPDATA%\hqyequkb\vbjuijihd.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\hqyequkb\glehbyxmje.exe' "%APPDATA%\hqyequkb\vbjuijihd.exe"
- '%APPDATA%\hqyequkb\vbjuijihd.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\hqyequkb\vbjuijihd.tyz
- %APPDATA%\hqyequkb\glehbyxmje.exe
- %APPDATA%\hqyequkb\vbjuijihd.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\hqyequkb\vbjuijihd.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'se####forever.net':80
- 'la###being.net':80
- 'se###abeing.net':80
- 'la###bottom.net':80
- 'se####bottom.net':80
- 'la####orever.net':80
- 'pa###close.net':80
- 'fi###yellow.net':80
- 'pa###yellow.net':80
- 'la###beyond.net':80
- 'se####beyond.net':80
- 'fi###close.net':80
- 'mo####inbeyond.net':80
- 'mo####bottom.net':80
- 'si####bottom.net':80
- 'po####lebeing.net':80
- 'mo####inbeing.net':80
- 'po####lebeyond.net':80
- 'si###ebeing.net':80
- 'mo####beyond.net':80
- 'si####beyond.net':80
- 'mo####forever.net':80
- 'si####forever.net':80
- 'mo###rbeing.net':80
- 'th####tyellow.net':80
- 'wa###travel.net':80
- 'th####ttravel.net':80
- 'wa###close.net':80
- 'th####tclose.net':80
- 'wa###yellow.net':80
- 'su###rclose.net':80
- 'cr###yellow.net':80
- 'su####yellow.net':80
- 'wa###space.net':80
- 'th####tspace.net':80
- 'cr###close.net':80
- 'pa###space.net':80
- 'sm###close.net':80
- 'wo###close.net':80
- 'fi###travel.net':80
- 'pa###travel.net':80
- 'fi###space.net':80
- 'wo###travel.net':80
- 'sm###space.net':80
- 'wo###space.net':80
- 'sm###yellow.net':80
- 'wo###yellow.net':80
- 'sm###travel.net':80
TCP:
Запросы HTTP GET:
- se####forever.net/index.php?em########################################
- la###being.net/index.php?em########################################
- se###abeing.net/index.php?em########################################
- la###bottom.net/index.php?em########################################
- se####bottom.net/index.php?em########################################
- la####orever.net/index.php?em########################################
- pa###close.net/index.php?em########################################
- fi###yellow.net/index.php?em########################################
- pa###yellow.net/index.php?em########################################
- la###beyond.net/index.php?em########################################
- se####beyond.net/index.php?em########################################
- fi###close.net/index.php?em########################################
- mo####inbeyond.net/index.php?em########################################
- mo####bottom.net/index.php?em########################################
- si####bottom.net/index.php?em########################################
- po####lebeing.net/index.php?em########################################
- mo####inbeing.net/index.php?em########################################
- po####lebeyond.net/index.php?em########################################
- si###ebeing.net/index.php?em########################################
- mo####beyond.net/index.php?em########################################
- si####beyond.net/index.php?em########################################
- mo####forever.net/index.php?em########################################
- si####forever.net/index.php?em########################################
- mo###rbeing.net/index.php?em########################################
- th####tyellow.net/index.php?em########################################
- wa###travel.net/index.php?em########################################
- th####ttravel.net/index.php?em########################################
- wa###close.net/index.php?em########################################
- th####tclose.net/index.php?em########################################
- wa###yellow.net/index.php?em########################################
- su###rclose.net/index.php?em########################################
- cr###yellow.net/index.php?em########################################
- su####yellow.net/index.php?em########################################
- wa###space.net/index.php?em########################################
- th####tspace.net/index.php?em########################################
- cr###close.net/index.php?em########################################
- pa###space.net/index.php?em########################################
- sm###close.net/index.php?em########################################
- wo###close.net/index.php?em########################################
- fi###travel.net/index.php?em########################################
- pa###travel.net/index.php?em########################################
- fi###space.net/index.php?em########################################
- wo###travel.net/index.php?em########################################
- sm###space.net/index.php?em########################################
- wo###space.net/index.php?em########################################
- sm###yellow.net/index.php?em########################################
- wo###yellow.net/index.php?em########################################
- sm###travel.net/index.php?em########################################
UDP:
- DNS ASK la####orever.net
- DNS ASK se####forever.net
- DNS ASK la###being.net
- DNS ASK si####beyond.net
- DNS ASK la###bottom.net
- DNS ASK se####bottom.net
- DNS ASK fi###close.net
- DNS ASK pa###close.net
- DNS ASK fi###yellow.net
- DNS ASK se###abeing.net
- DNS ASK la###beyond.net
- DNS ASK se####beyond.net
- DNS ASK po####lebeyond.net
- DNS ASK mo####inbeyond.net
- DNS ASK mo####bottom.net
- DNS ASK mo####inforever.net
- DNS ASK po####lebeing.net
- DNS ASK mo####inbeing.net
- DNS ASK mo###rbeing.net
- DNS ASK si###ebeing.net
- DNS ASK mo####beyond.net
- DNS ASK si####bottom.net
- DNS ASK mo####forever.net
- DNS ASK si####forever.net
- DNS ASK pa###yellow.net
- DNS ASK th####tyellow.net
- DNS ASK wa###travel.net
- DNS ASK th####ttravel.net
- DNS ASK wa###close.net
- DNS ASK th####tclose.net
- DNS ASK wa###yellow.net
- DNS ASK su###rclose.net
- DNS ASK cr###yellow.net
- DNS ASK su####yellow.net
- DNS ASK wa###space.net
- DNS ASK th####tspace.net
- DNS ASK cr###close.net
- DNS ASK pa###space.net
- DNS ASK sm###close.net
- DNS ASK wo###close.net
- DNS ASK fi###travel.net
- DNS ASK pa###travel.net
- DNS ASK fi###space.net
- DNS ASK wo###travel.net
- DNS ASK sm###space.net
- DNS ASK wo###space.net
- DNS ASK sm###yellow.net
- DNS ASK wo###yellow.net
- DNS ASK sm###travel.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
