Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Provider Instrumentation' = '%APPDATA%\godukykfmwi\quomdzalrpu.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\godukykfmwi\jvretghdlbui.exe' "%APPDATA%\godukykfmwi\quomdzalrpu.exe"
- '%APPDATA%\godukykfmwi\quomdzalrpu.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\godukykfmwi\quomdzalrpu.yfeqg
- %APPDATA%\godukykfmwi\jvretghdlbui.exe
- %APPDATA%\godukykfmwi\quomdzalrpu.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\godukykfmwi\quomdzalrpu.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'le###catch.net':80
- 'fi####eearly.net':80
- 'le###eearly.net':80
- 'fi###hcatch.net':80
- 'su####tpublic.net':80
- 'wi###rdress.net':80
- 'su####tdress.net':80
- 'fi####public.net':80
- 'pr####lycatch.net':80
- 'sw###eearly.net':80
- 'pr####lyeearly.net':80
- 'sw###catch.net':80
- 'le###public.net':80
- 'fi###hdress.net':80
- 'le###dress.net':80
- 'su####teearly.net':80
- 'po####ledress.net':80
- 'pe####scatch.net':80
- 'wi###wcatch.net':80
- 'mo####indress.net':80
- 'po####leeearly.net':80
- 'mo####inpublic.net':80
- 'po####lepublic.net':80
- 'pe####seearly.net':80
- 'wi###wdress.net':80
- 'wi###rcatch.net':80
- 'su####tcatch.net':80
- 'pe####sdress.net':80
- 'wi####eearly.net':80
- 'pe####spublic.net':80
- 'wi####public.net':80
TCP:
Запросы HTTP GET:
- le###catch.net/index.php?em#######################################
- fi####eearly.net/index.php?em#######################################
- le###eearly.net/index.php?em#######################################
- fi###hcatch.net/index.php?em#######################################
- su####tpublic.net/index.php?em#######################################
- wi###rdress.net/index.php?em#######################################
- su####tdress.net/index.php?em#######################################
- fi####public.net/index.php?em#######################################
- pr####lycatch.net/index.php?em#######################################
- sw###eearly.net/index.php?em#######################################
- pr####lyeearly.net/index.php?em#######################################
- sw###catch.net/index.php?em#######################################
- le###public.net/index.php?em#######################################
- fi###hdress.net/index.php?em#######################################
- le###dress.net/index.php?em#######################################
- su####teearly.net/index.php?em#######################################
- po####ledress.net/index.php?em#######################################
- pe####scatch.net/index.php?em#######################################
- wi###wcatch.net/index.php?em#######################################
- mo####indress.net/index.php?em#######################################
- po####leeearly.net/index.php?em#######################################
- mo####inpublic.net/index.php?em#######################################
- po####lepublic.net/index.php?em#######################################
- pe####seearly.net/index.php?em#######################################
- wi###wdress.net/index.php?em#######################################
- wi###rcatch.net/index.php?em#######################################
- su####tcatch.net/index.php?em#######################################
- pe####sdress.net/index.php?em#######################################
- wi####eearly.net/index.php?em#######################################
- pe####spublic.net/index.php?em#######################################
- wi####public.net/index.php?em#######################################
UDP:
- DNS ASK le###catch.net
- DNS ASK fi####eearly.net
- DNS ASK le###eearly.net
- DNS ASK fi###hcatch.net
- DNS ASK su####tpublic.net
- DNS ASK wi###rdress.net
- DNS ASK su####tdress.net
- DNS ASK fi####public.net
- DNS ASK pr####lycatch.net
- DNS ASK sw###eearly.net
- DNS ASK pr####lyeearly.net
- DNS ASK sw###catch.net
- DNS ASK le###public.net
- DNS ASK fi###hdress.net
- DNS ASK le###dress.net
- DNS ASK su####teearly.net
- DNS ASK po####ledress.net
- DNS ASK pe####scatch.net
- DNS ASK wi###wcatch.net
- DNS ASK mo####indress.net
- DNS ASK po####leeearly.net
- DNS ASK mo####inpublic.net
- DNS ASK po####lepublic.net
- DNS ASK pe####seearly.net
- DNS ASK wi###wdress.net
- DNS ASK wi###rcatch.net
- DNS ASK su####tcatch.net
- DNS ASK pe####sdress.net
- DNS ASK wi####eearly.net
- DNS ASK pe####spublic.net
- DNS ASK wi####public.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
