Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Publication Instrumentation' = '%APPDATA%\oxfgvxsk\rloolnljzpna.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\oxfgvxsk\gptifhrljtwr.exe' "%APPDATA%\oxfgvxsk\rloolnljzpna.exe"
- '%APPDATA%\oxfgvxsk\rloolnljzpna.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\oxfgvxsk\rloolnljzpna.obi8
- %APPDATA%\oxfgvxsk\gptifhrljtwr.exe
- %APPDATA%\oxfgvxsk\rloolnljzpna.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\oxfgvxsk\rloolnljzpna.exe
Сетевая активность:
Подключается к:
- 'st####thwomen.net':80
- 'st###course.net':80
- 'st####thcourse.net':80
- 'ou####estream.net':80
- 'mo####ntstream.net':80
- 'st###women.net':80
- 'st####thclean.net':80
- 'de###ewomen.net':80
- 'pr####ewomen.net':80
- 'st###paint.net':80
- 'st####thpaint.net':80
- 'st###clean.net':80
- 'mo####ntnothing.net':80
- 'ev####gnothing.net':80
- 'bu####ngnothing.net':80
- 'ev####gstream.net':80
- 'bu####ngdivide.net':80
- 'ev####gbottle.net':80
- 'bu####ngbottle.net':80
- 'ou####ebottle.net':80
- 'mo####ntbottle.net':80
- 'ou####enothing.net':80
- 'bu####ngstream.net':80
- 'ou####edivide.net':80
- 'mo####ntdivide.net':80
- 'do####course.net':80
- 'fe####course.net':80
- 'do###epaint.net':80
- 'br###nclean.net':80
- 'do###ewomen.net':80
- 'fe###wwomen.net':80
- 'pr###ywomen.net':80
- 'do###rwomen.net':80
- 'pr####course.net':80
- 'fe###wpaint.net':80
- 'do###eclean.net':80
- 'fe###wclean.net':80
- 're###tclean.net':80
- 'pr####epaint.net':80
- 'de###eclean.net':80
- 'pr####eclean.net':80
- 'de####course.net':80
- 'pr####ecourse.net':80
- 'de###epaint.net':80
- 'br####course.net':80
- 're###tpaint.net':80
- 'br###npaint.net':80
- 're###twomen.net':80
- 'br###nwomen.net':80
- 're####course.net':80
TCP:
Запросы HTTP GET:
- st####thwomen.net/index.php?em#############################################
- st###course.net/index.php?em#############################################
- st####thcourse.net/index.php?em#############################################
- ou####estream.net/index.php?em#############################################
- mo####ntstream.net/index.php?em#############################################
- st###women.net/index.php?em#############################################
- st####thclean.net/index.php?em#############################################
- de###ewomen.net/index.php?em#############################################
- pr####ewomen.net/index.php?em#############################################
- st###paint.net/index.php?em#############################################
- st####thpaint.net/index.php?em#############################################
- st###clean.net/index.php?em#############################################
- mo####ntnothing.net/index.php?em#############################################
- ev####gnothing.net/index.php?em#############################################
- bu####ngnothing.net/index.php?em#############################################
- ev####gstream.net/index.php?em#############################################
- bu####ngdivide.net/index.php?em#############################################
- ev####gbottle.net/index.php?em#############################################
- bu####ngbottle.net/index.php?em#############################################
- ou####ebottle.net/index.php?em#############################################
- mo####ntbottle.net/index.php?em#############################################
- ou####enothing.net/index.php?em#############################################
- bu####ngstream.net/index.php?em#############################################
- ou####edivide.net/index.php?em#############################################
- mo####ntdivide.net/index.php?em#############################################
- do####course.net/index.php?em#############################################
- fe####course.net/index.php?em#############################################
- do###epaint.net/index.php?em#############################################
- br###nclean.net/index.php?em#############################################
- do###ewomen.net/index.php?em#############################################
- fe###wwomen.net/index.php?em#############################################
- pr###ywomen.net/index.php?em#############################################
- do###rwomen.net/index.php?em#############################################
- pr####course.net/index.php?em#############################################
- fe###wpaint.net/index.php?em#############################################
- do###eclean.net/index.php?em#############################################
- fe###wclean.net/index.php?em#############################################
- re###tclean.net/index.php?em#############################################
- pr####epaint.net/index.php?em#############################################
- de###eclean.net/index.php?em#############################################
- pr####eclean.net/index.php?em#############################################
- de####course.net/index.php?em#############################################
- pr####ecourse.net/index.php?em#############################################
- de###epaint.net/index.php?em#############################################
- br####course.net/index.php?em#############################################
- re###tpaint.net/index.php?em#############################################
- br###npaint.net/index.php?em#############################################
- re###twomen.net/index.php?em#############################################
- br###nwomen.net/index.php?em#############################################
- re####course.net/index.php?em#############################################
UDP:
- DNS ASK st####thwomen.net
- DNS ASK st###course.net
- DNS ASK st####thcourse.net
- DNS ASK ou####estream.net
- DNS ASK mo####ntstream.net
- DNS ASK st###women.net
- DNS ASK st####thclean.net
- DNS ASK de###ewomen.net
- DNS ASK pr####ewomen.net
- DNS ASK st###paint.net
- DNS ASK st####thpaint.net
- DNS ASK st###clean.net
- DNS ASK mo####ntnothing.net
- DNS ASK ev####gnothing.net
- DNS ASK bu####ngnothing.net
- DNS ASK ev####gstream.net
- DNS ASK bu####ngdivide.net
- DNS ASK ev####gbottle.net
- DNS ASK bu####ngbottle.net
- DNS ASK ou####ebottle.net
- DNS ASK mo####ntbottle.net
- DNS ASK ou####enothing.net
- DNS ASK bu####ngstream.net
- DNS ASK ou####edivide.net
- DNS ASK mo####ntdivide.net
- DNS ASK do####course.net
- DNS ASK fe####course.net
- DNS ASK do###epaint.net
- DNS ASK br###nclean.net
- DNS ASK do###ewomen.net
- DNS ASK fe###wwomen.net
- DNS ASK pr###ywomen.net
- DNS ASK do###rwomen.net
- DNS ASK pr####course.net
- DNS ASK fe###wpaint.net
- DNS ASK do###eclean.net
- DNS ASK fe###wclean.net
- DNS ASK re###tclean.net
- DNS ASK pr####epaint.net
- DNS ASK de###eclean.net
- DNS ASK pr####eclean.net
- DNS ASK de####course.net
- DNS ASK pr####ecourse.net
- DNS ASK de###epaint.net
- DNS ASK br####course.net
- DNS ASK re###tpaint.net
- DNS ASK br###npaint.net
- DNS ASK re###twomen.net
- DNS ASK br###nwomen.net
- DNS ASK re####course.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
