Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Media Source Player Configuration' = '%APPDATA%\ooarmeixteitf\puzntub.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ooarmeixteitf\tqslizify.exe' "%APPDATA%\ooarmeixteitf\puzntub.exe"
- '%APPDATA%\ooarmeixteitf\puzntub.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ooarmeixteitf\puzntub.tzbh
- %APPDATA%\ooarmeixteitf\tqslizify.exe
- %APPDATA%\ooarmeixteitf\puzntub.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ooarmeixteitf\puzntub.exe
Сетевая активность:
Подключается к:
- 'be####epromise.net':80
- 'pe####should.net':80
- 'ma####eshould.net':80
- 'ex####opinion.net':80
- 'be####eopinion.net':80
- 'ex####promise.net':80
- 'pe###nshort.net':80
- 'pe####promise.net':80
- 'ma####epromise.net':80
- 'su####should.net':80
- 'ma####eshort.net':80
- 'pe####opinion.net':80
- 'ma####eopinion.net':80
- 'st#####hstraight.net':80
- 'st####traight.net':80
- 'st####thguard.net':80
- 'de###efence.net':80
- 'st#####hairplane.net':80
- 'st####irplane.net':80
- 'st###guard.net':80
- 'be####eshould.net':80
- 'ex###tshort.net':80
- 'be####eshort.net':80
- 'st####thfence.net':80
- 'st###fence.net':80
- 'ex####should.net':80
TCP:
Запросы HTTP GET:
- be####epromise.net/index.php?em#########################################
- pe####should.net/index.php?em#########################################
- ma####eshould.net/index.php?em#########################################
- ex####opinion.net/index.php?em#########################################
- be####eopinion.net/index.php?em#########################################
- ex####promise.net/index.php?em#########################################
- pe###nshort.net/index.php?em#########################################
- pe####promise.net/index.php?em#########################################
- ma####epromise.net/index.php?em#########################################
- su####should.net/index.php?em#########################################
- ma####eshort.net/index.php?em#########################################
- pe####opinion.net/index.php?em#########################################
- ma####eopinion.net/index.php?em#########################################
- st#####hstraight.net/index.php?em#########################################
- st####traight.net/index.php?em#########################################
- st####thguard.net/index.php?em#########################################
- de###efence.net/index.php?em#########################################
- st#####hairplane.net/index.php?em#########################################
- st####irplane.net/index.php?em#########################################
- st###guard.net/index.php?em#########################################
- be####eshould.net/index.php?em#########################################
- ex###tshort.net/index.php?em#########################################
- be####eshort.net/index.php?em#########################################
- st####thfence.net/index.php?em#########################################
- st###fence.net/index.php?em#########################################
- ex####should.net/index.php?em#########################################
UDP:
- DNS ASK be####epromise.net
- DNS ASK pe####should.net
- DNS ASK ma####eshould.net
- DNS ASK ex####opinion.net
- DNS ASK be####eopinion.net
- DNS ASK ex####promise.net
- DNS ASK pe###nshort.net
- DNS ASK pe####promise.net
- DNS ASK ma####epromise.net
- DNS ASK su####should.net
- DNS ASK ma####eshort.net
- DNS ASK pe####opinion.net
- DNS ASK ma####eopinion.net
- DNS ASK st#####hstraight.net
- DNS ASK st####traight.net
- DNS ASK st####thguard.net
- DNS ASK de###efence.net
- DNS ASK st#####hairplane.net
- DNS ASK st####irplane.net
- DNS ASK st###guard.net
- DNS ASK be####eshould.net
- DNS ASK ex###tshort.net
- DNS ASK be####eshort.net
- DNS ASK st####thfence.net
- DNS ASK st###fence.net
- DNS ASK ex####should.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
