Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Peer Foundation SSDP Source' = '%APPDATA%\stgoawdba\bchratdn.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\stgoawdba\rxvbdvzqflq.exe' "%APPDATA%\stgoawdba\bchratdn.exe"
- '%APPDATA%\stgoawdba\bchratdn.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\stgoawdba\bchratdn.pnj9d
- %APPDATA%\stgoawdba\rxvbdvzqflq.exe
- %APPDATA%\stgoawdba\bchratdn.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\stgoawdba\bchratdn.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'la####eparate.net':80
- 'se####separate.net':80
- 'ma####alfuture.net':80
- 'se####clothes.net':80
- 'la###health.net':80
- 'se####health.net':80
- 'ma####alearly.net':80
- 'se####learly.net':80
- 'ma####alsmell.net':80
- 'se####lfuture.net':80
- 'ma####alsafety.net':80
- 'se####lsafety.net':80
- 'mo####clothes.net':80
- 'si####clothes.net':80
- 'mo####health.net':80
- 'mo#####nseparate.net':80
- 'mo####distant.net':80
- 'si####distant.net':80
- 'la####istant.net':80
- 'se####distant.net':80
- 'la####lothes.net':80
- 'si####health.net':80
- 'mo####separate.net':80
- 'si####separate.net':80
- 'se####lsmell.net':80
- 'fi###hsmell.net':80
- 'su####tfuture.net':80
- 'su####tsafety.net':80
- 'le###early.net':80
- 'fi###hearly.net':80
- 'le###smell.net':80
- 'su####tsmell.net':80
- 'wi###rsmell.net':80
- 'wi####future.net':80
- 'wi####safety.net':80
- 'su####tearly.net':80
- 'wi###rearly.net':80
- 'sw###safety.net':80
- 'pr####lyearly.net':80
- 'sw###early.net':80
- 'pr####lyfuture.net':80
- 'sw###future.net':80
- 'pr####lysafety.net':80
- 'fi####future.net':80
- 'le###safety.net':80
- 'fi####safety.net':80
- 'pr####lysmell.net':80
- 'sw###smell.net':80
- 'le###future.net':80
TCP:
Запросы HTTP GET:
- la####eparate.net/index.php?em#################################################
- se####separate.net/index.php?em#################################################
- ma####alfuture.net/index.php?em#################################################
- se####clothes.net/index.php?em#################################################
- la###health.net/index.php?em#################################################
- se####health.net/index.php?em#################################################
- ma####alearly.net/index.php?em#################################################
- se####learly.net/index.php?em#################################################
- ma####alsmell.net/index.php?em#################################################
- se####lfuture.net/index.php?em#################################################
- ma####alsafety.net/index.php?em#################################################
- se####lsafety.net/index.php?em#################################################
- mo####clothes.net/index.php?em#################################################
- si####clothes.net/index.php?em#################################################
- mo####health.net/index.php?em#################################################
- mo#####nseparate.net/index.php?em#################################################
- mo####distant.net/index.php?em#################################################
- si####distant.net/index.php?em#################################################
- la####istant.net/index.php?em#################################################
- se####distant.net/index.php?em#################################################
- la####lothes.net/index.php?em#################################################
- si####health.net/index.php?em#################################################
- mo####separate.net/index.php?em#################################################
- si####separate.net/index.php?em#################################################
- se####lsmell.net/index.php?em#################################################
- fi###hsmell.net/index.php?em#################################################
- su####tfuture.net/index.php?em#################################################
- su####tsafety.net/index.php?em#################################################
- le###early.net/index.php?em#################################################
- fi###hearly.net/index.php?em#################################################
- le###smell.net/index.php?em#################################################
- su####tsmell.net/index.php?em#################################################
- wi###rsmell.net/index.php?em#################################################
- wi####future.net/index.php?em#################################################
- wi####safety.net/index.php?em#################################################
- su####tearly.net/index.php?em#################################################
- wi###rearly.net/index.php?em#################################################
- sw###safety.net/index.php?em#################################################
- pr####lyearly.net/index.php?em#################################################
- sw###early.net/index.php?em#################################################
- pr####lyfuture.net/index.php?em#################################################
- sw###future.net/index.php?em#################################################
- pr####lysafety.net/index.php?em#################################################
- fi####future.net/index.php?em#################################################
- le###safety.net/index.php?em#################################################
- fi####safety.net/index.php?em#################################################
- pr####lysmell.net/index.php?em#################################################
- sw###smell.net/index.php?em#################################################
- le###future.net/index.php?em#################################################
UDP:
- DNS ASK la####eparate.net
- DNS ASK se####separate.net
- DNS ASK ma####alfuture.net
- DNS ASK se####clothes.net
- DNS ASK la###health.net
- DNS ASK se####health.net
- DNS ASK ma####alearly.net
- DNS ASK se####learly.net
- DNS ASK ma####alsmell.net
- DNS ASK se####lfuture.net
- DNS ASK ma####alsafety.net
- DNS ASK se####lsafety.net
- DNS ASK mo####clothes.net
- DNS ASK si####clothes.net
- DNS ASK mo####health.net
- DNS ASK mo#####nseparate.net
- DNS ASK mo####distant.net
- DNS ASK si####distant.net
- DNS ASK la####istant.net
- DNS ASK se####distant.net
- DNS ASK la####lothes.net
- DNS ASK si####health.net
- DNS ASK mo####separate.net
- DNS ASK si####separate.net
- DNS ASK se####lsmell.net
- DNS ASK fi###hsmell.net
- DNS ASK su####tfuture.net
- DNS ASK su####tsafety.net
- DNS ASK le###early.net
- DNS ASK fi###hearly.net
- DNS ASK le###smell.net
- DNS ASK su####tsmell.net
- DNS ASK wi###rsmell.net
- DNS ASK wi####future.net
- DNS ASK wi####safety.net
- DNS ASK su####tearly.net
- DNS ASK wi###rearly.net
- DNS ASK sw###safety.net
- DNS ASK pr####lyearly.net
- DNS ASK sw###early.net
- DNS ASK pr####lyfuture.net
- DNS ASK sw###future.net
- DNS ASK pr####lysafety.net
- DNS ASK fi####future.net
- DNS ASK le###safety.net
- DNS ASK fi####safety.net
- DNS ASK pr####lysmell.net
- DNS ASK sw###smell.net
- DNS ASK le###future.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
