Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows Card Media Registrar TP' = '<SYSTEM32>\ejujvwfepz.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\ejujvwfepz.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\ejujvwfepz.exe'
- '%TEMP%\qilhnmgw3839jlqeakoiuq.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\user.js
- <SYSTEM32>\ejujvwfepz.exe
- <SYSTEM32>\fggrxvppw\tst
- %TEMP%\qilhnmgw3839jlqeakoiuq.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\ejujvwfepz.exe
Удаляет следующие файлы:
- %TEMP%\qilhnmgw3839jlqeakoiuq.exe
Сетевая активность:
Подключается к:
- 'ri###urt.net':80
- 'fa###wear.net':80
- 'ri###ear.net':80
- 'fa###hurt.net':80
- 'so####ebruary.net':80
- 'fi###slow.net':80
- 'so###slow.net':80
- 'we###urt.net':80
- 'we###ear.net':80
- 'we###ind.net':80
- 'ri###old.net':80
- 'fa###find.net':80
- 'ri###ind.net':80
- 'fa###told.net':80
- 'th###help.net':80
- 'li####bruary.net':80
- 'th####ebruary.net':80
- 'li###elp.net':80
- 'fe###low.net':80
- 'li####vember.net':80
- 'th####ovember.net':80
- 'fi###help.net':80
- 'so###help.net':80
- 'fi####ebruary.net':80
- 'so####ovember.net':80
- 'li###low.net':80
- 'th###slow.net':80
- 'fi####ovember.net':80
- 'we###old.net':80
- 'li###hot.net':80
- 'so###about.net':80
- 'lo###oss.net':80
- 'ab###ach.net':80
- 'ca###old.net':80
- 'mo###ray.net':80
- 'ju###ray.net':80
- 'pe###hecon.com':80
- 'mo###uia.com':80
- 'el#####arimagine.com':80
- 'th###rrefk.com':80
- 'yo###njoy.net':80
- 'sa###ave.net':80
- 'ta###wash.net':80
- 'li###ind.net':80
- 'no###ind.net':80
- 'li###old.net':80
- 'no###ear.net':80
- 'li###urt.net':80
- 'no###urt.net':80
- 'li###ear.net':80
- 'po###wear.net':80
- 'ca###ind.net':80
- 'po###find.net':80
- 'ca###ear.net':80
- 'no###old.net':80
- 'ca###urt.net':80
- 'po###hurt.net':80
TCP:
Запросы HTTP GET:
- ri###urt.net/forum/search.php?me##############################################################################
- fa###wear.net/forum/search.php?me##############################################################################
- ri###ear.net/forum/search.php?me##############################################################################
- fa###hurt.net/forum/search.php?me##############################################################################
- so####ebruary.net/forum/search.php?me##############################################################################
- fi###slow.net/forum/search.php?me##############################################################################
- so###slow.net/forum/search.php?me##############################################################################
- we###urt.net/forum/search.php?me##############################################################################
- we###ear.net/forum/search.php?me##############################################################################
- we###ind.net/forum/search.php?me##############################################################################
- ri###old.net/forum/search.php?me##############################################################################
- fa###find.net/forum/search.php?me##############################################################################
- ri###ind.net/forum/search.php?me##############################################################################
- fa###told.net/forum/search.php?me##############################################################################
- th###help.net/forum/search.php?me##############################################################################
- li####bruary.net/forum/search.php?me##############################################################################
- th####ebruary.net/forum/search.php?me##############################################################################
- li###elp.net/forum/search.php?me##############################################################################
- fe###low.net/forum/search.php?me##############################################################################
- li####vember.net/forum/search.php?me##############################################################################
- th####ovember.net/forum/search.php?me##############################################################################
- fi###help.net/forum/search.php?me##############################################################################
- so###help.net/forum/search.php?me##############################################################################
- fi####ebruary.net/forum/search.php?me##############################################################################
- so####ovember.net/forum/search.php?me##############################################################################
- li###low.net/forum/search.php?me##############################################################################
- th###slow.net/forum/search.php?me##############################################################################
- fi####ovember.net/forum/search.php?me##############################################################################
- we###old.net/forum/search.php?me##############################################################################
- li###hot.net/forum/search.php?me##############################################################################
- so###about.net/forum/search.php?me##############################################################################
- lo###oss.net/forum/search.php?me##############################################################################
- ab###ach.net/forum/search.php?me##############################################################################
- ca###old.net/forum/search.php?me##############################################################################
- mo###ray.net/forum/search.php?me##############################################################################
- ju###ray.net/forum/search.php?me##############################################################################
- pe###hecon.com/forum/search.php?me##############################################################################
- mo###uia.com/forum/search.php?me##############################################################################
- el#####arimagine.com/forum/search.php?me##############################################################################
- th###rrefk.com/forum/search.php?me##############################################################################
- yo###njoy.net/forum/search.php?me##############################################################################
- sa###ave.net/forum/search.php?me##############################################################################
- ta###wash.net/forum/search.php?me##############################################################################
- li###ind.net/forum/search.php?me##############################################################################
- no###ind.net/forum/search.php?me##############################################################################
- li###old.net/forum/search.php?me##############################################################################
- no###ear.net/forum/search.php?me##############################################################################
- li###urt.net/forum/search.php?me##############################################################################
- no###urt.net/forum/search.php?me##############################################################################
- li###ear.net/forum/search.php?me##############################################################################
- po###wear.net/forum/search.php?me##############################################################################
- ca###ind.net/forum/search.php?me##############################################################################
- po###find.net/forum/search.php?me##############################################################################
- ca###ear.net/forum/search.php?me##############################################################################
- no###old.net/forum/search.php?me##############################################################################
- ca###urt.net/forum/search.php?me##############################################################################
- po###hurt.net/forum/search.php?me##############################################################################
UDP:
- DNS ASK ri###urt.net
- DNS ASK fa###wear.net
- DNS ASK ri###ear.net
- DNS ASK fa###hurt.net
- DNS ASK so####ebruary.net
- DNS ASK fi###slow.net
- DNS ASK so###slow.net
- DNS ASK we###urt.net
- DNS ASK we###ear.net
- DNS ASK we###ind.net
- DNS ASK ri###old.net
- DNS ASK fa###find.net
- DNS ASK ri###ind.net
- DNS ASK fa###told.net
- DNS ASK fi####ebruary.net
- DNS ASK li###elp.net
- DNS ASK th###help.net
- DNS ASK li####bruary.net
- DNS ASK th####ovember.net
- DNS ASK we###low.net
- DNS ASK fe###low.net
- DNS ASK li####vember.net
- DNS ASK so####ovember.net
- DNS ASK fi###help.net
- DNS ASK so###help.net
- DNS ASK fi####ovember.net
- DNS ASK th####ebruary.net
- DNS ASK li###low.net
- DNS ASK th###slow.net
- DNS ASK li###hot.net
- DNS ASK so###about.net
- DNS ASK lo###oss.net
- DNS ASK ab###ach.net
- DNS ASK ca###old.net
- DNS ASK mo###ray.net
- DNS ASK ju###ray.net
- DNS ASK pe###hecon.com
- DNS ASK mo###uia.com
- DNS ASK el#####arimagine.com
- DNS ASK th###rrefk.com
- DNS ASK yo###njoy.net
- DNS ASK sa###ave.net
- DNS ASK ta###wash.net
- DNS ASK po###find.net
- DNS ASK no###ear.net
- DNS ASK li###ind.net
- DNS ASK no###ind.net
- DNS ASK li###ear.net
- DNS ASK we###old.net
- DNS ASK li###urt.net
- DNS ASK no###urt.net
- DNS ASK ca###ear.net
- DNS ASK po###wear.net
- DNS ASK ca###ind.net
- DNS ASK po###hurt.net
- DNS ASK li###old.net
- DNS ASK no###old.net
- DNS ASK ca###urt.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
