Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Image HomeGroup Alerts Certificate Interactive' = '%APPDATA%\nuvtwdrcjcfadgs\abrclnbwop.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\nuvtwdrcjcfadgs\ymtgleo.exe' "%APPDATA%\nuvtwdrcjcfadgs\abrclnbwop.exe"
- '%APPDATA%\nuvtwdrcjcfadgs\abrclnbwop.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\nuvtwdrcjcfadgs\abrclnbwop.xjs
- %APPDATA%\nuvtwdrcjcfadgs\ymtgleo.exe
- %APPDATA%\nuvtwdrcjcfadgs\abrclnbwop.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\nuvtwdrcjcfadgs\abrclnbwop.exe
Сетевая активность:
Подключается к:
- 'sm###health.net':80
- 'wo###health.net':80
- 'sm####eparate.net':80
- 'wo####lothes.net':80
- 'sm####istant.net':80
- 'wo####istant.net':80
- 'sm####lothes.net':80
- 'wo####eparate.net':80
- 'wa###health.net':80
- 'th####thealth.net':80
- 'wa####eparate.net':80
- 'th####tclothes.net':80
- 'wa####istant.net':80
- 'th####tdistant.net':80
- 'wa####lothes.net':80
- 'pa####eparate.net':80
- 'ex#####nceeearly.net':80
- 'fr###eearly.net':80
- 'ex####encecatch.net':80
- 'fr###public.net':80
- 'ex####encedress.net':80
- 'fr###dress.net':80
- 'ex#####ncepublic.net':80
- 'fr###catch.net':80
- 'fi###health.net':80
- 'pa###health.net':80
- 'fi####eparate.net':80
- 'pa####lothes.net':80
- 'fi####istant.net':80
- 'pa####istant.net':80
- 'fi####lothes.net':80
- 'fo####clothes.net':80
- 'me####health.net':80
- 'fo####health.net':80
- 'me####clothes.net':80
- 'be####eparate.net':80
- 'me####distant.net':80
- 'fo####distant.net':80
- 'me####separate.net':80
- 'ge#####anclothes.net':80
- 'al####yhealth.net':80
- 'ge####manhealth.net':80
- 'al####yclothes.net':80
- 'fo####separate.net':80
- 'al####ydistant.net':80
- 'ge#####andistant.net':80
- 'kn####eparate.net':80
- 'su####clothes.net':80
- 'cr###health.net':80
- 'su####health.net':80
- 'cr####lothes.net':80
- 'th####tseparate.net':80
- 'cr####istant.net':80
- 'su####distant.net':80
- 'cr####eparate.net':80
- 'be####lothes.net':80
- 'kn###health.net':80
- 'be###health.net':80
- 'kn####lothes.net':80
- 'su####separate.net':80
- 'kn####istant.net':80
- 'be####istant.net':80
TCP:
Запросы HTTP GET:
- sm###health.net/index.php?em#########################################
- wo###health.net/index.php?em#########################################
- sm####eparate.net/index.php?em#########################################
- wo####lothes.net/index.php?em#########################################
- sm####istant.net/index.php?em#########################################
- wo####istant.net/index.php?em#########################################
- sm####lothes.net/index.php?em#########################################
- wo####eparate.net/index.php?em#########################################
- wa###health.net/index.php?em#########################################
- th####thealth.net/index.php?em#########################################
- wa####eparate.net/index.php?em#########################################
- th####tclothes.net/index.php?em#########################################
- wa####istant.net/index.php?em#########################################
- th####tdistant.net/index.php?em#########################################
- wa####lothes.net/index.php?em#########################################
- pa####eparate.net/index.php?em#########################################
- ex#####nceeearly.net/index.php?em#########################################
- fr###eearly.net/index.php?em#########################################
- ex####encecatch.net/index.php?em#########################################
- fr###public.net/index.php?em#########################################
- ex####encedress.net/index.php?em#########################################
- fr###dress.net/index.php?em#########################################
- ex#####ncepublic.net/index.php?em#########################################
- fr###catch.net/index.php?em#########################################
- fi###health.net/index.php?em#########################################
- pa###health.net/index.php?em#########################################
- fi####eparate.net/index.php?em#########################################
- pa####lothes.net/index.php?em#########################################
- fi####istant.net/index.php?em#########################################
- pa####istant.net/index.php?em#########################################
- fi####lothes.net/index.php?em#########################################
- fo####clothes.net/index.php?em#########################################
- me####health.net/index.php?em#########################################
- fo####health.net/index.php?em#########################################
- me####clothes.net/index.php?em#########################################
- be####eparate.net/index.php?em#########################################
- me####distant.net/index.php?em#########################################
- fo####distant.net/index.php?em#########################################
- me####separate.net/index.php?em#########################################
- ge#####anclothes.net/index.php?em#########################################
- al####yhealth.net/index.php?em#########################################
- ge####manhealth.net/index.php?em#########################################
- al####yclothes.net/index.php?em#########################################
- fo####separate.net/index.php?em#########################################
- al####ydistant.net/index.php?em#########################################
- ge#####andistant.net/index.php?em#########################################
- kn####eparate.net/index.php?em#########################################
- su####clothes.net/index.php?em#########################################
- cr###health.net/index.php?em#########################################
- su####health.net/index.php?em#########################################
- cr####lothes.net/index.php?em#########################################
- th####tseparate.net/index.php?em#########################################
- cr####istant.net/index.php?em#########################################
- su####distant.net/index.php?em#########################################
- cr####eparate.net/index.php?em#########################################
- be####lothes.net/index.php?em#########################################
- kn###health.net/index.php?em#########################################
- be###health.net/index.php?em#########################################
- kn####lothes.net/index.php?em#########################################
- su####separate.net/index.php?em#########################################
- kn####istant.net/index.php?em#########################################
- be####istant.net/index.php?em#########################################
UDP:
- DNS ASK wo####lothes.net
- DNS ASK sm###health.net
- DNS ASK wo###health.net
- DNS ASK sm####lothes.net
- DNS ASK pa####eparate.net
- DNS ASK sm####istant.net
- DNS ASK wo####istant.net
- DNS ASK sm####eparate.net
- DNS ASK th####tclothes.net
- DNS ASK wa###health.net
- DNS ASK th####thealth.net
- DNS ASK wa####lothes.net
- DNS ASK wo####eparate.net
- DNS ASK wa####istant.net
- DNS ASK th####tdistant.net
- DNS ASK fi####eparate.net
- DNS ASK fr###public.net
- DNS ASK ex#####nceeearly.net
- DNS ASK fr###eearly.net
- DNS ASK ex#####ncepublic.net
- DNS ASK ge####mancatch.net
- DNS ASK ex####encedress.net
- DNS ASK fr###dress.net
- DNS ASK ex####encecatch.net
- DNS ASK pa####lothes.net
- DNS ASK fi###health.net
- DNS ASK pa###health.net
- DNS ASK fi####lothes.net
- DNS ASK fr###catch.net
- DNS ASK fi####istant.net
- DNS ASK pa####istant.net
- DNS ASK wa####eparate.net
- DNS ASK fo####clothes.net
- DNS ASK me####health.net
- DNS ASK fo####health.net
- DNS ASK me####clothes.net
- DNS ASK be####eparate.net
- DNS ASK me####distant.net
- DNS ASK fo####distant.net
- DNS ASK me####separate.net
- DNS ASK ge#####anclothes.net
- DNS ASK al####yhealth.net
- DNS ASK ge####manhealth.net
- DNS ASK al####yclothes.net
- DNS ASK fo####separate.net
- DNS ASK al####ydistant.net
- DNS ASK ge#####andistant.net
- DNS ASK kn####eparate.net
- DNS ASK su####clothes.net
- DNS ASK cr###health.net
- DNS ASK su####health.net
- DNS ASK cr####lothes.net
- DNS ASK th####tseparate.net
- DNS ASK cr####istant.net
- DNS ASK su####distant.net
- DNS ASK cr####eparate.net
- DNS ASK be####lothes.net
- DNS ASK kn###health.net
- DNS ASK be###health.net
- DNS ASK kn####lothes.net
- DNS ASK su####separate.net
- DNS ASK kn####istant.net
- DNS ASK be####istant.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
