Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Image WLAN Auto Host TCP/IP User' = '%APPDATA%\oswxbijr\xftwpwn.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\oswxbijr\lgxybmxf.exe' "%APPDATA%\oswxbijr\xftwpwn.exe"
- '%APPDATA%\oswxbijr\xftwpwn.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\oswxbijr\xftwpwn.ggyo5
- %APPDATA%\oswxbijr\lgxybmxf.exe
- %APPDATA%\oswxbijr\xftwpwn.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\oswxbijr\lgxybmxf.exe
- %APPDATA%\oswxbijr\xftwpwn.exe
Сетевая активность:
Подключается к:
- 'wo###friend.net':80
- 'sm####onsider.net':80
- 'sm###friend.net':80
- 'fi####aughter.net':80
- 'pa####aughter.net':80
- 'sm####aughter.net':80
- 'wo####aughter.net':80
- 'wo###fancy.net':80
- 'wo####onsider.net':80
- 'sm###fancy.net':80
- 'pa###fancy.net':80
- 'ex####encesmell.net':80
- 'fr###smell.net':80
- 'fr###early.net':80
- 'fr###safety.net':80
- 'ex####enceearly.net':80
- 'pa####onsider.net':80
- 'fi###fancy.net':80
- 'fi####onsider.net':80
- 'fi###friend.net':80
- 'pa###friend.net':80
- 'cr####aughter.net':80
- 'su####laughter.net':80
- 'su###rfancy.net':80
- 'su####consider.net':80
- 'cr###fancy.net':80
- 'be####onsider.net':80
- 'kn###fancy.net':80
- 'kn####onsider.net':80
- 'kn###friend.net':80
- 'be###friend.net':80
- 'cr####onsider.net':80
- 'th####tconsider.net':80
- 'wa###fancy.net':80
- 'wa####onsider.net':80
- 'wa###friend.net':80
- 'th####tfriend.net':80
- 'cr###friend.net':80
- 'su####friend.net':80
- 'th####tlaughter.net':80
- 'th####tfancy.net':80
- 'wa####aughter.net':80
TCP:
Запросы HTTP GET:
- wo###friend.net/forum/search.php?em####################################
- sm####onsider.net/forum/search.php?em####################################
- sm###friend.net/forum/search.php?em####################################
- fi####aughter.net/forum/search.php?em####################################
- pa####aughter.net/forum/search.php?em####################################
- sm####aughter.net/forum/search.php?em####################################
- wo####aughter.net/forum/search.php?em####################################
- wo###fancy.net/forum/search.php?em####################################
- wo####onsider.net/forum/search.php?em####################################
- sm###fancy.net/forum/search.php?em####################################
- pa###fancy.net/forum/search.php?em####################################
- ex####encesmell.net/forum/search.php?em####################################
- fr###smell.net/forum/search.php?em####################################
- fr###early.net/forum/search.php?em####################################
- fr###safety.net/forum/search.php?em####################################
- ex####enceearly.net/forum/search.php?em####################################
- pa####onsider.net/forum/search.php?em####################################
- fi###fancy.net/forum/search.php?em####################################
- fi####onsider.net/forum/search.php?em####################################
- fi###friend.net/forum/search.php?em####################################
- pa###friend.net/forum/search.php?em####################################
- cr####aughter.net/forum/search.php?em####################################
- su####laughter.net/forum/search.php?em####################################
- su###rfancy.net/forum/search.php?em####################################
- su####consider.net/forum/search.php?em####################################
- cr###fancy.net/forum/search.php?em####################################
- be####onsider.net/forum/search.php?em####################################
- kn###fancy.net/forum/search.php?em####################################
- kn####onsider.net/forum/search.php?em####################################
- kn###friend.net/forum/search.php?em####################################
- be###friend.net/forum/search.php?em####################################
- cr####onsider.net/forum/search.php?em####################################
- th####tconsider.net/forum/search.php?em####################################
- wa###fancy.net/forum/search.php?em####################################
- wa####onsider.net/forum/search.php?em####################################
- wa###friend.net/forum/search.php?em####################################
- th####tfriend.net/forum/search.php?em####################################
- cr###friend.net/forum/search.php?em####################################
- su####friend.net/forum/search.php?em####################################
- th####tlaughter.net/forum/search.php?em####################################
- th####tfancy.net/forum/search.php?em####################################
- wa####aughter.net/forum/search.php?em####################################
UDP:
- DNS ASK sm###friend.net
- DNS ASK wo###friend.net
- DNS ASK pa####aughter.net
- DNS ASK pa###fancy.net
- DNS ASK fi####aughter.net
- DNS ASK wo###fancy.net
- DNS ASK sm####aughter.net
- DNS ASK sm###fancy.net
- DNS ASK sm####onsider.net
- DNS ASK wo####onsider.net
- DNS ASK fi###fancy.net
- DNS ASK fr###early.net
- DNS ASK ex####encesmell.net
- DNS ASK ex####enceearly.net
- DNS ASK ex#####ncesafety.net
- DNS ASK fr###safety.net
- DNS ASK fi####onsider.net
- DNS ASK pa####onsider.net
- DNS ASK pa###friend.net
- DNS ASK fr###smell.net
- DNS ASK fi###friend.net
- DNS ASK wo####aughter.net
- DNS ASK cr####aughter.net
- DNS ASK su####laughter.net
- DNS ASK su###rfancy.net
- DNS ASK su####consider.net
- DNS ASK cr###fancy.net
- DNS ASK be####onsider.net
- DNS ASK kn###fancy.net
- DNS ASK kn####onsider.net
- DNS ASK kn###friend.net
- DNS ASK be###friend.net
- DNS ASK cr####onsider.net
- DNS ASK th####tconsider.net
- DNS ASK wa###fancy.net
- DNS ASK wa####onsider.net
- DNS ASK wa###friend.net
- DNS ASK th####tfriend.net
- DNS ASK cr###friend.net
- DNS ASK su####friend.net
- DNS ASK th####tlaughter.net
- DNS ASK th####tfancy.net
- DNS ASK wa####aughter.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
