Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Experience Endpoint Ordering Studio' = '%APPDATA%\bcklkbqtcey\a8qmkqp.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\bcklkbqtcey\iezwljgcucr8.exe' "%APPDATA%\bcklkbqtcey\a8qmkqp.exe"
- '%APPDATA%\bcklkbqtcey\a8qmkqp.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\bcklkbqtcey\a8qmkqp.upfn
- %APPDATA%\bcklkbqtcey\iezwljgcucr8.exe
- %APPDATA%\bcklkbqtcey\a8qmkqp.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\bcklkbqtcey\a8qmkqp.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'be####eparate.net':80
- 'me####distant.net':80
- 'be###health.net':80
- 'kn####eparate.net':80
- 'fo####distant.net':80
- 'me####health.net':80
- 'fo####health.net':80
- 'me####clothes.net':80
- 'fo####clothes.net':80
- 'cr####eparate.net':80
- 'su####separate.net':80
- 'cr###health.net':80
- 'su####health.net':80
- 'kn####istant.net':80
- 'be####lothes.net':80
- 'kn###health.net':80
- 'be####istant.net':80
- 'kn####lothes.net':80
- 'fr####istant.net':80
- 'ex#####nceclothes.net':80
- 'ge#####anseparate.net':80
- 'ex#####ncedistant.net':80
- 'fr####lothes.net':80
- 'ex#####nceseparate.net':80
- 'fr####eparate.net':80
- 'ex#####ncehealth.net':80
- 'fr###health.net':80
- 'al####ydistant.net':80
- 'ge#####andistant.net':80
- 'me####separate.net':80
- 'fo####separate.net':80
- 'al####yclothes.net':80
- 'ge####manhealth.net':80
- 'al####yseparate.net':80
- 'ge#####anclothes.net':80
- 'al####yhealth.net':80
TCP:
Запросы HTTP GET:
- be####eparate.net/index.php?em###################################################################
- me####distant.net/index.php?em###################################################################
- be###health.net/index.php?em###################################################################
- kn####eparate.net/index.php?em###################################################################
- fo####distant.net/index.php?em###################################################################
- me####health.net/index.php?em###################################################################
- fo####health.net/index.php?em###################################################################
- me####clothes.net/index.php?em###################################################################
- fo####clothes.net/index.php?em###################################################################
- cr####eparate.net/index.php?em###################################################################
- su####separate.net/index.php?em###################################################################
- cr###health.net/index.php?em###################################################################
- su####health.net/index.php?em###################################################################
- kn####istant.net/index.php?em###################################################################
- be####lothes.net/index.php?em###################################################################
- kn###health.net/index.php?em###################################################################
- be####istant.net/index.php?em###################################################################
- kn####lothes.net/index.php?em###################################################################
- fr####istant.net/index.php?em###################################################################
- ex#####nceclothes.net/index.php?em###################################################################
- ge#####anseparate.net/index.php?em###################################################################
- ex#####ncedistant.net/index.php?em###################################################################
- fr####lothes.net/index.php?em###################################################################
- ex#####nceseparate.net/index.php?em###################################################################
- fr####eparate.net/index.php?em###################################################################
- ex#####ncehealth.net/index.php?em###################################################################
- fr###health.net/index.php?em###################################################################
- al####ydistant.net/index.php?em###################################################################
- ge#####andistant.net/index.php?em###################################################################
- me####separate.net/index.php?em###################################################################
- fo####separate.net/index.php?em###################################################################
- al####yclothes.net/index.php?em###################################################################
- ge####manhealth.net/index.php?em###################################################################
- al####yseparate.net/index.php?em###################################################################
- ge#####anclothes.net/index.php?em###################################################################
- al####yhealth.net/index.php?em###################################################################
UDP:
- DNS ASK kn####eparate.net
- DNS ASK be####eparate.net
- DNS ASK kn###health.net
- DNS ASK be###health.net
- DNS ASK me####distant.net
- DNS ASK fo####clothes.net
- DNS ASK me####health.net
- DNS ASK fo####distant.net
- DNS ASK me####clothes.net
- DNS ASK su####health.net
- DNS ASK cr####eparate.net
- DNS ASK su####clothes.net
- DNS ASK cr###health.net
- DNS ASK su####separate.net
- DNS ASK kn####lothes.net
- DNS ASK be####lothes.net
- DNS ASK kn####istant.net
- DNS ASK be####istant.net
- DNS ASK fo####health.net
- DNS ASK fr####istant.net
- DNS ASK ex#####nceclothes.net
- DNS ASK ge#####anseparate.net
- DNS ASK ex#####ncedistant.net
- DNS ASK fr####lothes.net
- DNS ASK ex#####nceseparate.net
- DNS ASK fr####eparate.net
- DNS ASK ex#####ncehealth.net
- DNS ASK fr###health.net
- DNS ASK al####ydistant.net
- DNS ASK ge#####andistant.net
- DNS ASK me####separate.net
- DNS ASK fo####separate.net
- DNS ASK al####yclothes.net
- DNS ASK ge####manhealth.net
- DNS ASK al####yseparate.net
- DNS ASK ge#####anclothes.net
- DNS ASK al####yhealth.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
