Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Time Protection Group Distributed' = '%APPDATA%\psiugxrky\psbsjlzcl.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\psiugxrky\qxawdve.exe' "%APPDATA%\psiugxrky\psbsjlzcl.exe"
- '%APPDATA%\psiugxrky\psbsjlzcl.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\psiugxrky\psbsjlzcl.yfs
- %APPDATA%\psiugxrky\qxawdve.exe
- %APPDATA%\psiugxrky\psbsjlzcl.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\psiugxrky\psbsjlzcl.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'ci#####teinclude.net':80
- 'pi####einclude.net':80
- 'pi####enorth.net':80
- 'ch####enclear.net':80
- 'ci####ttenorth.net':80
- 'pi####eclear.net':80
- 'th###hnorth.net':80
- 'ci####tteclear.net':80
- 'ci#####tegeneral.net':80
- 'pi####egeneral.net':80
- 'fa###ynorth.net':80
- 'ch####ennorth.net':80
- 'ei###rclear.net':80
- 'ei####general.net':80
- 'en####hclear.net':80
- 'ch####engeneral.net':80
- 'fa###yclear.net':80
- 'fa####general.net':80
- 'fa####include.net':80
- 'ch####eninclude.net':80
- 'fi###enorth.net':80
- 'wh####rclear.net':80
- 'fo####nnorth.net':80
- 'ri###clear.net':80
- 'ri####eneral.net':80
- 'wh####rgeneral.net':80
- 'fo####ngeneral.net':80
- 'su####general.net':80
- 'su####include.net':80
- 'su###nnorth.net':80
- 'fo####ninclude.net':80
- 'fi####general.net':80
- 'th###hclear.net':80
- 'th####general.net':80
- 'th####include.net':80
- 'fi####include.net':80
- 'ri####nclude.net':80
- 'wh####rinclude.net':80
- 'wh####rnorth.net':80
- 'fi###eclear.net':80
- 'ri###north.net':80
TCP:
Запросы HTTP GET:
- ci#####teinclude.net/index.php?em#########################################
- pi####einclude.net/index.php?em#########################################
- pi####enorth.net/index.php?em#########################################
- ch####enclear.net/index.php?em#########################################
- ci####ttenorth.net/index.php?em#########################################
- pi####eclear.net/index.php?em#########################################
- th###hnorth.net/index.php?em#########################################
- ci####tteclear.net/index.php?em#########################################
- ci#####tegeneral.net/index.php?em#########################################
- pi####egeneral.net/index.php?em#########################################
- fa###ynorth.net/index.php?em#########################################
- ch####ennorth.net/index.php?em#########################################
- ei###rclear.net/index.php?em#########################################
- ei####general.net/index.php?em#########################################
- en####hclear.net/index.php?em#########################################
- ch####engeneral.net/index.php?em#########################################
- fa###yclear.net/index.php?em#########################################
- fa####general.net/index.php?em#########################################
- fa####include.net/index.php?em#########################################
- ch####eninclude.net/index.php?em#########################################
- fi###enorth.net/index.php?em#########################################
- wh####rclear.net/index.php?em#########################################
- fo####nnorth.net/index.php?em#########################################
- ri###clear.net/index.php?em#########################################
- ri####eneral.net/index.php?em#########################################
- wh####rgeneral.net/index.php?em#########################################
- fo####ngeneral.net/index.php?em#########################################
- su####general.net/index.php?em#########################################
- su####include.net/index.php?em#########################################
- su###nnorth.net/index.php?em#########################################
- fo####ninclude.net/index.php?em#########################################
- fi####general.net/index.php?em#########################################
- th###hclear.net/index.php?em#########################################
- th####general.net/index.php?em#########################################
- th####include.net/index.php?em#########################################
- fi####include.net/index.php?em#########################################
- ri####nclude.net/index.php?em#########################################
- wh####rinclude.net/index.php?em#########################################
- wh####rnorth.net/index.php?em#########################################
- fi###eclear.net/index.php?em#########################################
- ri###north.net/index.php?em#########################################
UDP:
- DNS ASK ci#####teinclude.net
- DNS ASK pi####einclude.net
- DNS ASK pi####enorth.net
- DNS ASK ch####enclear.net
- DNS ASK ci####ttenorth.net
- DNS ASK pi####eclear.net
- DNS ASK th###hnorth.net
- DNS ASK ci####tteclear.net
- DNS ASK ci#####tegeneral.net
- DNS ASK pi####egeneral.net
- DNS ASK fa###yclear.net
- DNS ASK ei###rclear.net
- DNS ASK fa###ynorth.net
- DNS ASK en####hclear.net
- DNS ASK en####hgeneral.net
- DNS ASK ei####general.net
- DNS ASK fa####general.net
- DNS ASK ch####engeneral.net
- DNS ASK ch####eninclude.net
- DNS ASK ch####ennorth.net
- DNS ASK fa####include.net
- DNS ASK wh####rclear.net
- DNS ASK fo####nnorth.net
- DNS ASK ri###clear.net
- DNS ASK ri####eneral.net
- DNS ASK wh####rgeneral.net
- DNS ASK fo####ngeneral.net
- DNS ASK su####general.net
- DNS ASK su####include.net
- DNS ASK su###nnorth.net
- DNS ASK fo####ninclude.net
- DNS ASK wh####rinclude.net
- DNS ASK th####general.net
- DNS ASK fi####general.net
- DNS ASK fi####include.net
- DNS ASK fi###enorth.net
- DNS ASK th####include.net
- DNS ASK wh####rnorth.net
- DNS ASK ri####nclude.net
- DNS ASK ri###north.net
- DNS ASK th###hclear.net
- DNS ASK fi###eclear.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
