Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Player Brightness TP Discovery Time' = '%APPDATA%\uskxmlxutaez\capsgbth.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\uskxmlxutaez\acovvxh.exe' "%APPDATA%\uskxmlxutaez\capsgbth.exe"
- '%APPDATA%\uskxmlxutaez\capsgbth.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\uskxmlxutaez\capsgbth.wfb
- %APPDATA%\uskxmlxutaez\acovvxh.exe
- %APPDATA%\uskxmlxutaez\capsgbth.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\uskxmlxutaez\capsgbth.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'la###north.net':80
- 'se###anorth.net':80
- 'mo###rclear.net':80
- 'si###eclear.net':80
- 'la####eneral.net':80
- 'se####general.net':80
- 'la####nclude.net':80
- 'se####include.net':80
- 'mo###rnorth.net':80
- 'si###enorth.net':80
- 'po####leclear.net':80
- 'mo####inclear.net':80
- 'mo####general.net':80
- 'si####general.net':80
- 'mo####include.net':80
- 'si####include.net':80
- 'pr####lyduring.net':80
- 'sw###during.net':80
- 'ma####allength.net':80
- 'se####llength.net':80
- 'pr####lynotice.net':80
- 'sw###notice.net':80
- 'pr####lyindeed.net':80
- 'sw###indeed.net':80
- 'ma####alduring.net':80
- 'se####lduring.net':80
- 'la###clear.net':80
- 'se###aclear.net':80
- 'ma####alnotice.net':80
- 'se####lnotice.net':80
- 'ma####alindeed.net':80
- 'se####lindeed.net':80
TCP:
Запросы HTTP GET:
- la###north.net/index.php?em###########################################
- se###anorth.net/index.php?em###########################################
- mo###rclear.net/index.php?em###########################################
- si###eclear.net/index.php?em###########################################
- la####eneral.net/index.php?em###########################################
- se####general.net/index.php?em###########################################
- la####nclude.net/index.php?em###########################################
- se####include.net/index.php?em###########################################
- mo###rnorth.net/index.php?em###########################################
- si###enorth.net/index.php?em###########################################
- po####leclear.net/index.php?em###########################################
- mo####inclear.net/index.php?em###########################################
- mo####general.net/index.php?em###########################################
- si####general.net/index.php?em###########################################
- mo####include.net/index.php?em###########################################
- si####include.net/index.php?em###########################################
- pr####lyduring.net/index.php?em###########################################
- sw###during.net/index.php?em###########################################
- ma####allength.net/index.php?em###########################################
- se####llength.net/index.php?em###########################################
- pr####lynotice.net/index.php?em###########################################
- sw###notice.net/index.php?em###########################################
- pr####lyindeed.net/index.php?em###########################################
- sw###indeed.net/index.php?em###########################################
- ma####alduring.net/index.php?em###########################################
- se####lduring.net/index.php?em###########################################
- la###clear.net/index.php?em###########################################
- se###aclear.net/index.php?em###########################################
- ma####alnotice.net/index.php?em###########################################
- se####lnotice.net/index.php?em###########################################
- ma####alindeed.net/index.php?em###########################################
- se####lindeed.net/index.php?em###########################################
UDP:
- DNS ASK si###eclear.net
- DNS ASK la###north.net
- DNS ASK si####general.net
- DNS ASK mo###rclear.net
- DNS ASK se####include.net
- DNS ASK la####eneral.net
- DNS ASK se###anorth.net
- DNS ASK la####nclude.net
- DNS ASK mo####inclear.net
- DNS ASK mo###rnorth.net
- DNS ASK mo####ingeneral.net
- DNS ASK po####leclear.net
- DNS ASK si####include.net
- DNS ASK mo####general.net
- DNS ASK si###enorth.net
- DNS ASK mo####include.net
- DNS ASK se####general.net
- DNS ASK pr####lyduring.net
- DNS ASK sw###during.net
- DNS ASK ma####allength.net
- DNS ASK se####llength.net
- DNS ASK pr####lynotice.net
- DNS ASK sw###notice.net
- DNS ASK pr####lyindeed.net
- DNS ASK sw###indeed.net
- DNS ASK ma####alduring.net
- DNS ASK se####lduring.net
- DNS ASK la###clear.net
- DNS ASK se###aclear.net
- DNS ASK ma####alnotice.net
- DNS ASK se####lnotice.net
- DNS ASK ma####alindeed.net
- DNS ASK se####lindeed.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
