Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Auto-Discovery BranchCache Controls Profile' = '%APPDATA%\upfuboplrf\kcplhfoewby.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\upfuboplrf\ohqnmahogme.exe' "%APPDATA%\upfuboplrf\kcplhfoewby.exe"
- '%APPDATA%\upfuboplrf\kcplhfoewby.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\upfuboplrf\kcplhfoewby.fyh
- %APPDATA%\upfuboplrf\ohqnmahogme.exe
- %APPDATA%\upfuboplrf\kcplhfoewby.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\upfuboplrf\kcplhfoewby.exe
Сетевая активность:
Подключается к:
- 'ci####ttesupply.net':80
- 'pi####edistance.net':80
- 'th####arrive.net':80
- 'pi####esupply.net':80
- 'ci####tteoffice.net':80
- 'pi####earrive.net':80
- 'ci#####tedistance.net':80
- 'pi####eoffice.net':80
- 'th####supply.net':80
- 'fi####distance.net':80
- 'ri###arrive.net':80
- 'fi####supply.net':80
- 'th####office.net':80
- 'fi####arrive.net':80
- 'th####distance.net':80
- 'fi####office.net':80
- 'ci####ttearrive.net':80
- 'ei####distance.net':80
- 'en####hdistance.net':80
- 'ei####supply.net':80
- 'en####hsupply.net':80
- 'ei####arrive.net':80
- 'en####harrive.net':80
- 'ei####office.net':80
- 'en####hoffice.net':80
- 'ch#####ndistance.net':80
- 'fa####distance.net':80
- 'ch####ensupply.net':80
- 'fa####supply.net':80
- 'ch####enarrive.net':80
- 'fa####arrive.net':80
- 'ch####enoffice.net':80
- 'fa####office.net':80
- 'pe####supply.net':80
- 'ma####esupply.net':80
- 'ex####arrive.net':80
- 'be####earrive.net':80
- 'pe####office.net':80
- 'ma####eoffice.net':80
- 'pe####distance.net':80
- 'ma####edistance.net':80
- 'ex####supply.net':80
- 'be####esupply.net':80
- 'ei####promise.net':80
- 'en####hpromise.net':80
- 'ex####office.net':80
- 'be####eoffice.net':80
- 'ex####distance.net':80
- 'be####edistance.net':80
- 'pe####arrive.net':80
- 'ri###supply.net':80
- 'wh####rdistance.net':80
- 'fo####narrive.net':80
- 'wh####rsupply.net':80
- 'ri###office.net':80
- 'wh####rarrive.net':80
- 'ri####istance.net':80
- 'wh####roffice.net':80
- 'fo####nsupply.net':80
- 'su####distance.net':80
- 'ma####earrive.net':80
- 'su####supply.net':80
- 'fo####noffice.net':80
- 'su####arrive.net':80
- 'fo####ndistance.net':80
- 'su####office.net':80
TCP:
Запросы HTTP GET:
- ci####ttesupply.net/index.php?em########################################
- pi####edistance.net/index.php?em########################################
- th####arrive.net/index.php?em########################################
- pi####esupply.net/index.php?em########################################
- ci####tteoffice.net/index.php?em########################################
- pi####earrive.net/index.php?em########################################
- ci#####tedistance.net/index.php?em########################################
- pi####eoffice.net/index.php?em########################################
- th####supply.net/index.php?em########################################
- fi####distance.net/index.php?em########################################
- ri###arrive.net/index.php?em########################################
- fi####supply.net/index.php?em########################################
- th####office.net/index.php?em########################################
- fi####arrive.net/index.php?em########################################
- th####distance.net/index.php?em########################################
- fi####office.net/index.php?em########################################
- ci####ttearrive.net/index.php?em########################################
- ei####distance.net/index.php?em########################################
- en####hdistance.net/index.php?em########################################
- ei####supply.net/index.php?em########################################
- en####hsupply.net/index.php?em########################################
- ei####arrive.net/index.php?em########################################
- en####harrive.net/index.php?em########################################
- ei####office.net/index.php?em########################################
- en####hoffice.net/index.php?em########################################
- ch#####ndistance.net/index.php?em########################################
- fa####distance.net/index.php?em########################################
- ch####ensupply.net/index.php?em########################################
- fa####supply.net/index.php?em########################################
- ch####enarrive.net/index.php?em########################################
- fa####arrive.net/index.php?em########################################
- ch####enoffice.net/index.php?em########################################
- fa####office.net/index.php?em########################################
- pe####supply.net/index.php?em########################################
- ma####esupply.net/index.php?em########################################
- ex####arrive.net/index.php?em########################################
- be####earrive.net/index.php?em########################################
- pe####office.net/index.php?em########################################
- ma####eoffice.net/index.php?em########################################
- pe####distance.net/index.php?em########################################
- ma####edistance.net/index.php?em########################################
- ex####supply.net/index.php?em########################################
- be####esupply.net/index.php?em########################################
- ei####promise.net/index.php?em########################################
- en####hpromise.net/index.php?em########################################
- ex####office.net/index.php?em########################################
- be####eoffice.net/index.php?em########################################
- ex####distance.net/index.php?em########################################
- be####edistance.net/index.php?em########################################
- pe####arrive.net/index.php?em########################################
- ri###supply.net/index.php?em########################################
- wh####rdistance.net/index.php?em########################################
- fo####narrive.net/index.php?em########################################
- wh####rsupply.net/index.php?em########################################
- ri###office.net/index.php?em########################################
- wh####rarrive.net/index.php?em########################################
- ri####istance.net/index.php?em########################################
- wh####roffice.net/index.php?em########################################
- fo####nsupply.net/index.php?em########################################
- su####distance.net/index.php?em########################################
- ma####earrive.net/index.php?em########################################
- su####supply.net/index.php?em########################################
- fo####noffice.net/index.php?em########################################
- su####arrive.net/index.php?em########################################
- fo####ndistance.net/index.php?em########################################
- su####office.net/index.php?em########################################
UDP:
- DNS ASK pi####edistance.net
- DNS ASK ci#####tedistance.net
- DNS ASK pi####esupply.net
- DNS ASK ci####ttesupply.net
- DNS ASK pi####earrive.net
- DNS ASK ci####ttearrive.net
- DNS ASK pi####eoffice.net
- DNS ASK ci####tteoffice.net
- DNS ASK fi####distance.net
- DNS ASK th####distance.net
- DNS ASK fi####supply.net
- DNS ASK th####supply.net
- DNS ASK fi####arrive.net
- DNS ASK th####arrive.net
- DNS ASK fi####office.net
- DNS ASK th####office.net
- DNS ASK ch####ensupply.net
- DNS ASK en####hdistance.net
- DNS ASK ei####office.net
- DNS ASK en####hsupply.net
- DNS ASK ei####distance.net
- DNS ASK en####harrive.net
- DNS ASK ex####strong.net
- DNS ASK en####hoffice.net
- DNS ASK ei####arrive.net
- DNS ASK fa####distance.net
- DNS ASK ch####enoffice.net
- DNS ASK fa####supply.net
- DNS ASK ch#####ndistance.net
- DNS ASK fa####arrive.net
- DNS ASK ei####supply.net
- DNS ASK fa####office.net
- DNS ASK ch####enarrive.net
- DNS ASK ri###arrive.net
- DNS ASK pe####supply.net
- DNS ASK ma####esupply.net
- DNS ASK ex####arrive.net
- DNS ASK be####earrive.net
- DNS ASK pe####office.net
- DNS ASK ma####eoffice.net
- DNS ASK pe####distance.net
- DNS ASK ma####edistance.net
- DNS ASK ex####supply.net
- DNS ASK be####esupply.net
- DNS ASK ei####promise.net
- DNS ASK en####hpromise.net
- DNS ASK ex####office.net
- DNS ASK be####eoffice.net
- DNS ASK ex####distance.net
- DNS ASK be####edistance.net
- DNS ASK pe####arrive.net
- DNS ASK ri###supply.net
- DNS ASK wh####rdistance.net
- DNS ASK fo####narrive.net
- DNS ASK wh####rsupply.net
- DNS ASK ri###office.net
- DNS ASK wh####rarrive.net
- DNS ASK ri####istance.net
- DNS ASK wh####roffice.net
- DNS ASK fo####nsupply.net
- DNS ASK su####distance.net
- DNS ASK ma####earrive.net
- DNS ASK su####supply.net
- DNS ASK fo####noffice.net
- DNS ASK su####arrive.net
- DNS ASK fo####ndistance.net
- DNS ASK su####office.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
