Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Receiver AutoConfig Window' = '%APPDATA%\dgktkvu\kebcztjoc.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\dgktkvu\lqmvroew.exe' "%APPDATA%\dgktkvu\kebcztjoc.exe"
- '%APPDATA%\dgktkvu\kebcztjoc.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\dgktkvu\kebcztjoc.s4
- %APPDATA%\dgktkvu\lqmvroew.exe
- %APPDATA%\dgktkvu\kebcztjoc.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\dgktkvu\kebcztjoc.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'pe####straight.net':80
- 'ma####eairplane.net':80
- 'pe###nguard.net':80
- 'ma####estraight.net':80
- 'pe####airplane.net':80
- 'be####eguard.net':80
- 'ex###tguard.net':80
- 'be####efence.net':80
- 'ex###tfence.net':80
- 'fo####nstraight.net':80
- 'su####straight.net':80
- 'fo####nguard.net':80
- 'su###nguard.net':80
- 'fo####nairplane.net':80
- 'pe###nfence.net':80
- 'ma####eguard.net':80
- 'su####airplane.net':80
- 'ma####efence.net':80
- 'ei###rfound.net':80
- 'fa####banker.net':80
- 'ei####spring.net':80
- 'en####hfound.net':80
- 'ch####enbanker.net':80
- 'fa####spring.net':80
- 'ch####enspring.net':80
- 'fa####success.net':80
- 'ch####ensuccess.net':80
- 'be####eairplane.net':80
- 'ex####airplane.net':80
- 'be####estraight.net':80
- 'ex####straight.net':80
- 'en####hbanker.net':80
- 'ei####success.net':80
- 'en####hspring.net':80
- 'ei####banker.net':80
- 'en####hsuccess.net':80
TCP:
Запросы HTTP GET:
- pe####straight.net/index.php?em#########################################
- ma####eairplane.net/index.php?em#########################################
- pe###nguard.net/index.php?em#########################################
- ma####estraight.net/index.php?em#########################################
- pe####airplane.net/index.php?em#########################################
- be####eguard.net/index.php?em#########################################
- ex###tguard.net/index.php?em#########################################
- be####efence.net/index.php?em#########################################
- ex###tfence.net/index.php?em#########################################
- fo####nstraight.net/index.php?em#########################################
- su####straight.net/index.php?em#########################################
- fo####nguard.net/index.php?em#########################################
- su###nguard.net/index.php?em#########################################
- fo####nairplane.net/index.php?em#########################################
- pe###nfence.net/index.php?em#########################################
- ma####eguard.net/index.php?em#########################################
- su####airplane.net/index.php?em#########################################
- ma####efence.net/index.php?em#########################################
- ei###rfound.net/index.php?em#########################################
- fa####banker.net/index.php?em#########################################
- ei####spring.net/index.php?em#########################################
- en####hfound.net/index.php?em#########################################
- ch####enbanker.net/index.php?em#########################################
- fa####spring.net/index.php?em#########################################
- ch####enspring.net/index.php?em#########################################
- fa####success.net/index.php?em#########################################
- ch####ensuccess.net/index.php?em#########################################
- be####eairplane.net/index.php?em#########################################
- ex####airplane.net/index.php?em#########################################
- be####estraight.net/index.php?em#########################################
- ex####straight.net/index.php?em#########################################
- en####hbanker.net/index.php?em#########################################
- ei####success.net/index.php?em#########################################
- en####hspring.net/index.php?em#########################################
- ei####banker.net/index.php?em#########################################
- en####hsuccess.net/index.php?em#########################################
UDP:
- DNS ASK pe####straight.net
- DNS ASK ma####eairplane.net
- DNS ASK pe###nguard.net
- DNS ASK ma####estraight.net
- DNS ASK pe####airplane.net
- DNS ASK be####eguard.net
- DNS ASK ex###tguard.net
- DNS ASK be####efence.net
- DNS ASK ex###tfence.net
- DNS ASK fo####nstraight.net
- DNS ASK su####straight.net
- DNS ASK fo####nguard.net
- DNS ASK su###nguard.net
- DNS ASK fo####nairplane.net
- DNS ASK pe###nfence.net
- DNS ASK ma####eguard.net
- DNS ASK su####airplane.net
- DNS ASK ma####efence.net
- DNS ASK ei###rfound.net
- DNS ASK fa####banker.net
- DNS ASK ei####spring.net
- DNS ASK en####hfound.net
- DNS ASK ch####enbanker.net
- DNS ASK fa####spring.net
- DNS ASK ch####enspring.net
- DNS ASK fa####success.net
- DNS ASK ch####ensuccess.net
- DNS ASK be####eairplane.net
- DNS ASK ex####airplane.net
- DNS ASK be####estraight.net
- DNS ASK ex####straight.net
- DNS ASK en####hbanker.net
- DNS ASK ei####success.net
- DNS ASK en####hspring.net
- DNS ASK ei####banker.net
- DNS ASK en####hsuccess.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
