Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'AutoConfig Drive Performance Internet WMI Now' = '%APPDATA%\grjjfaboykr\ixjcwxrqaqg.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\grjjfaboykr\tzbpvovduzl.exe' "%APPDATA%\grjjfaboykr\ixjcwxrqaqg.exe"
- '%APPDATA%\grjjfaboykr\ixjcwxrqaqg.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\grjjfaboykr\ixjcwxrqaqg.edg7
- %APPDATA%\grjjfaboykr\tzbpvovduzl.exe
- %APPDATA%\grjjfaboykr\ixjcwxrqaqg.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\grjjfaboykr\ixjcwxrqaqg.exe
Сетевая активность:
Подключается к:
- 'le####uarter.net':80
- 'fi####quarter.net':80
- 'sw###branch.net':80
- 'sw####elieve.net':80
- 'pr####lybranch.net':80
- 'fi####believe.net':80
- 'le###branch.net':80
- 'le####elieve.net':80
- 'le####eceive.net':80
- 'fi####receive.net':80
- 'pr####lybelieve.net':80
- 'se####lbelieve.net':80
- 'ma####albranch.net':80
- 'ma####albelieve.net':80
- 'ma####alreceive.net':80
- 'se####lreceive.net':80
- 'pr####lyreceive.net':80
- 'sw####eceive.net':80
- 'sw####uarter.net':80
- 'se####lbranch.net':80
- 'pr####lyquarter.net':80
- 'mo####inquarter.net':80
- 'po####lereceive.net':80
- 'po####lequarter.net':80
- 'wi####branch.net':80
- 'pe####sbranch.net':80
- 'po####lebranch.net':80
- 'mo####inbranch.net':80
- 'mo####inbelieve.net':80
- 'mo####inreceive.net':80
- 'po####lebelieve.net':80
- 'pe####sbelieve.net':80
- 'su####tbelieve.net':80
- 'su####tbranch.net':80
- 'su####treceive.net':80
- 'fi####branch.net':80
- 'su####tquarter.net':80
- 'pe####sreceive.net':80
- 'wi####believe.net':80
- 'wi####receive.net':80
- 'wi####quarter.net':80
- 'pe####squarter.net':80
TCP:
Запросы HTTP GET:
- le####uarter.net/index.php?em#########################################
- fi####quarter.net/index.php?em#########################################
- sw###branch.net/index.php?em#########################################
- sw####elieve.net/index.php?em#########################################
- pr####lybranch.net/index.php?em#########################################
- fi####believe.net/index.php?em#########################################
- le###branch.net/index.php?em#########################################
- le####elieve.net/index.php?em#########################################
- le####eceive.net/index.php?em#########################################
- fi####receive.net/index.php?em#########################################
- pr####lybelieve.net/index.php?em#########################################
- se####lbelieve.net/index.php?em#########################################
- ma####albranch.net/index.php?em#########################################
- ma####albelieve.net/index.php?em#########################################
- ma####alreceive.net/index.php?em#########################################
- se####lreceive.net/index.php?em#########################################
- pr####lyreceive.net/index.php?em#########################################
- sw####eceive.net/index.php?em#########################################
- sw####uarter.net/index.php?em#########################################
- se####lbranch.net/index.php?em#########################################
- pr####lyquarter.net/index.php?em#########################################
- mo####inquarter.net/index.php?em#########################################
- po####lereceive.net/index.php?em#########################################
- po####lequarter.net/index.php?em#########################################
- wi####branch.net/index.php?em#########################################
- pe####sbranch.net/index.php?em#########################################
- po####lebranch.net/index.php?em#########################################
- mo####inbranch.net/index.php?em#########################################
- mo####inbelieve.net/index.php?em#########################################
- mo####inreceive.net/index.php?em#########################################
- po####lebelieve.net/index.php?em#########################################
- pe####sbelieve.net/index.php?em#########################################
- su####tbelieve.net/index.php?em#########################################
- su####tbranch.net/index.php?em#########################################
- su####treceive.net/index.php?em#########################################
- fi####branch.net/index.php?em#########################################
- su####tquarter.net/index.php?em#########################################
- pe####sreceive.net/index.php?em#########################################
- wi####believe.net/index.php?em#########################################
- wi####receive.net/index.php?em#########################################
- wi####quarter.net/index.php?em#########################################
- pe####squarter.net/index.php?em#########################################
UDP:
- DNS ASK sw###branch.net
- DNS ASK le####uarter.net
- DNS ASK pr####lybranch.net
- DNS ASK pr####lybelieve.net
- DNS ASK sw####elieve.net
- DNS ASK le####elieve.net
- DNS ASK fi####believe.net
- DNS ASK fi####receive.net
- DNS ASK fi####quarter.net
- DNS ASK le####eceive.net
- DNS ASK sw####eceive.net
- DNS ASK ma####albelieve.net
- DNS ASK se####lbelieve.net
- DNS ASK se####lreceive.net
- DNS ASK se####lquarter.net
- DNS ASK ma####alreceive.net
- DNS ASK sw####uarter.net
- DNS ASK pr####lyreceive.net
- DNS ASK pr####lyquarter.net
- DNS ASK ma####albranch.net
- DNS ASK se####lbranch.net
- DNS ASK le###branch.net
- DNS ASK mo####inquarter.net
- DNS ASK po####lereceive.net
- DNS ASK po####lequarter.net
- DNS ASK wi####branch.net
- DNS ASK pe####sbranch.net
- DNS ASK po####lebranch.net
- DNS ASK mo####inbranch.net
- DNS ASK mo####inbelieve.net
- DNS ASK mo####inreceive.net
- DNS ASK po####lebelieve.net
- DNS ASK pe####sbelieve.net
- DNS ASK su####tbelieve.net
- DNS ASK su####tbranch.net
- DNS ASK su####treceive.net
- DNS ASK fi####branch.net
- DNS ASK su####tquarter.net
- DNS ASK pe####sreceive.net
- DNS ASK wi####believe.net
- DNS ASK wi####receive.net
- DNS ASK wi####quarter.net
- DNS ASK pe####squarter.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
