Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Foundation Process Removal Error' = '%APPDATA%\lejdpjwfxoove\rjxqknnuso.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\lejdpjwfxoove\muhygaptmt.exe' "%APPDATA%\lejdpjwfxoove\rjxqknnuso.exe"
- '%APPDATA%\lejdpjwfxoove\rjxqknnuso.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\lejdpjwfxoove\rjxqknnuso.eod
- %APPDATA%\lejdpjwfxoove\muhygaptmt.exe
- %APPDATA%\lejdpjwfxoove\rjxqknnuso.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\lejdpjwfxoove\rjxqknnuso.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'wa###course.net':80
- 'th####twomen.net':80
- 'wa###women.net':80
- 'th####tcourse.net':80
- 'wa###clean.net':80
- 'th####tpaint.net':80
- 'wa###paint.net':80
- 'wo###course.net':80
- 'sm###course.net':80
- 'wo###women.net':80
- 'sm###paint.net':80
- 'wo###clean.net':80
- 'sm###clean.net':80
- 'wo###paint.net':80
- 'kn###women.net':80
- 'su###rclean.net':80
- 'cr###clean.net':80
- 'be###women.net':80
- 'kn###paint.net':80
- 'be###course.net':80
- 'kn###course.net':80
- 'su###rwomen.net':80
- 'cr###women.net':80
- 'th####tclean.net':80
- 'cr###course.net':80
- 'su###rpaint.net':80
- 'cr###paint.net':80
- 'su####course.net':80
TCP:
Запросы HTTP GET:
- wa###course.net/index.php?em###########################################
- th####twomen.net/index.php?em###########################################
- wa###women.net/index.php?em###########################################
- th####tcourse.net/index.php?em###########################################
- wa###clean.net/index.php?em###########################################
- th####tpaint.net/index.php?em###########################################
- wa###paint.net/index.php?em###########################################
- wo###course.net/index.php?em###########################################
- sm###course.net/index.php?em###########################################
- wo###women.net/index.php?em###########################################
- sm###paint.net/index.php?em###########################################
- wo###clean.net/index.php?em###########################################
- sm###clean.net/index.php?em###########################################
- wo###paint.net/index.php?em###########################################
- kn###women.net/index.php?em###########################################
- su###rclean.net/index.php?em###########################################
- cr###clean.net/index.php?em###########################################
- be###women.net/index.php?em###########################################
- kn###paint.net/index.php?em###########################################
- be###course.net/index.php?em###########################################
- kn###course.net/index.php?em###########################################
- su###rwomen.net/index.php?em###########################################
- cr###women.net/index.php?em###########################################
- th####tclean.net/index.php?em###########################################
- cr###course.net/index.php?em###########################################
- su###rpaint.net/index.php?em###########################################
- cr###paint.net/index.php?em###########################################
- su####course.net/index.php?em###########################################
UDP:
- DNS ASK wa###course.net
- DNS ASK th####twomen.net
- DNS ASK wa###women.net
- DNS ASK th####tcourse.net
- DNS ASK wa###clean.net
- DNS ASK th####tpaint.net
- DNS ASK wa###paint.net
- DNS ASK wo###course.net
- DNS ASK sm###course.net
- DNS ASK wo###women.net
- DNS ASK sm###paint.net
- DNS ASK wo###clean.net
- DNS ASK sm###clean.net
- DNS ASK wo###paint.net
- DNS ASK kn###women.net
- DNS ASK su###rclean.net
- DNS ASK cr###clean.net
- DNS ASK be###women.net
- DNS ASK kn###paint.net
- DNS ASK be###course.net
- DNS ASK kn###course.net
- DNS ASK su###rwomen.net
- DNS ASK cr###women.net
- DNS ASK th####tclean.net
- DNS ASK cr###course.net
- DNS ASK su###rpaint.net
- DNS ASK cr###paint.net
- DNS ASK su####course.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
