Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Detection Media Performance Studio' = '%APPDATA%\eycerqxjch\smkiyemekvk.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\eycerqxjch\kxenirdrwhg.exe' "%APPDATA%\eycerqxjch\smkiyemekvk.exe"
- '%APPDATA%\eycerqxjch\smkiyemekvk.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\eycerqxjch\smkiyemekvk.wg
- %APPDATA%\eycerqxjch\kxenirdrwhg.exe
- %APPDATA%\eycerqxjch\smkiyemekvk.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\eycerqxjch\smkiyemekvk.exe
Сетевая активность:
Подключается к:
- 'se####lcaught.net':80
- 'ma####alcaught.net':80
- 'se#####president.net':80
- 'ma#####lpresident.net':80
- 'se####master.net':80
- 'la###master.net':80
- 'se####continue.net':80
- 'la####ontinue.net':80
- 'ma####altrouble.net':80
- 'pr#####ypresident.net':80
- 'sw###caught.net':80
- 'pr####lytrouble.net':80
- 'sw####resident.net':80
- 'ma####alstrong.net':80
- 'se####ltrouble.net':80
- 'pr####lycaught.net':80
- 'se####lstrong.net':80
- 'mo####discover.net':80
- 'mo#####ncontinue.net':80
- 'mo####wonder.net':80
- 'si####discover.net':80
- 'po####lemaster.net':80
- 'mo####inwonder.net':80
- 'po#####econtinue.net':80
- 'mo####inmaster.net':80
- 'si####wonder.net':80
- 'se####discover.net':80
- 'la####iscover.net':80
- 'se####wonder.net':80
- 'la###wonder.net':80
- 'si####master.net':80
- 'mo####master.net':80
- 'si####continue.net':80
- 'mo####continue.net':80
- 'pe####sstrong.net':80
- 'wi####strong.net':80
- 'mo####incaught.net':80
- 'po####lecaught.net':80
- 'pe#####president.net':80
- 'wi####president.net':80
- 'pe####strouble.net':80
- 'wi####trouble.net':80
- 'po#####epresident.net':80
- 'mo####caught.net':80
- 'mo####instrong.net':80
- 'mo####president.net':80
- 'si####caught.net':80
- 'po####letrouble.net':80
- 'mo#####npresident.net':80
- 'po####lestrong.net':80
- 'mo####introuble.net':80
- 'le####resident.net':80
- 'fi####caught.net':80
- 'le####rouble.net':80
- 'fi####president.net':80
- 'pr####lystrong.net':80
- 'sw####rouble.net':80
- 'le###caught.net':80
- 'sw###strong.net':80
- 'fi####trouble.net':80
- 'su####tstrong.net':80
- 'su####ttrouble.net':80
- 'pe####scaught.net':80
- 'wi####caught.net':80
- 'fi####strong.net':80
- 'le###strong.net':80
- 'su#####president.net':80
- 'su####tcaught.net':80
TCP:
Запросы HTTP GET:
- se####lcaught.net/index.php?em#########################################
- ma####alcaught.net/index.php?em#########################################
- se#####president.net/index.php?em#########################################
- ma#####lpresident.net/index.php?em#########################################
- se####master.net/index.php?em#########################################
- la###master.net/index.php?em#########################################
- se####continue.net/index.php?em#########################################
- la####ontinue.net/index.php?em#########################################
- ma####altrouble.net/index.php?em#########################################
- pr#####ypresident.net/index.php?em#########################################
- sw###caught.net/index.php?em#########################################
- pr####lytrouble.net/index.php?em#########################################
- sw####resident.net/index.php?em#########################################
- ma####alstrong.net/index.php?em#########################################
- se####ltrouble.net/index.php?em#########################################
- pr####lycaught.net/index.php?em#########################################
- se####lstrong.net/index.php?em#########################################
- mo####discover.net/index.php?em#########################################
- mo#####ncontinue.net/index.php?em#########################################
- mo####wonder.net/index.php?em#########################################
- si####discover.net/index.php?em#########################################
- po####lemaster.net/index.php?em#########################################
- mo####inwonder.net/index.php?em#########################################
- po#####econtinue.net/index.php?em#########################################
- mo####inmaster.net/index.php?em#########################################
- si####wonder.net/index.php?em#########################################
- se####discover.net/index.php?em#########################################
- la####iscover.net/index.php?em#########################################
- se####wonder.net/index.php?em#########################################
- la###wonder.net/index.php?em#########################################
- si####master.net/index.php?em#########################################
- mo####master.net/index.php?em#########################################
- si####continue.net/index.php?em#########################################
- mo####continue.net/index.php?em#########################################
- pe####sstrong.net/index.php?em#########################################
- wi####strong.net/index.php?em#########################################
- mo####incaught.net/index.php?em#########################################
- po####lecaught.net/index.php?em#########################################
- pe#####president.net/index.php?em#########################################
- wi####president.net/index.php?em#########################################
- pe####strouble.net/index.php?em#########################################
- wi####trouble.net/index.php?em#########################################
- po#####epresident.net/index.php?em#########################################
- mo####caught.net/index.php?em#########################################
- mo####instrong.net/index.php?em#########################################
- mo####president.net/index.php?em#########################################
- si####caught.net/index.php?em#########################################
- po####letrouble.net/index.php?em#########################################
- mo#####npresident.net/index.php?em#########################################
- po####lestrong.net/index.php?em#########################################
- mo####introuble.net/index.php?em#########################################
- le####resident.net/index.php?em#########################################
- fi####caught.net/index.php?em#########################################
- le####rouble.net/index.php?em#########################################
- fi####president.net/index.php?em#########################################
- pr####lystrong.net/index.php?em#########################################
- sw####rouble.net/index.php?em#########################################
- le###caught.net/index.php?em#########################################
- sw###strong.net/index.php?em#########################################
- fi####trouble.net/index.php?em#########################################
- su####tstrong.net/index.php?em#########################################
- su####ttrouble.net/index.php?em#########################################
- pe####scaught.net/index.php?em#########################################
- wi####caught.net/index.php?em#########################################
- fi####strong.net/index.php?em#########################################
- le###strong.net/index.php?em#########################################
- su#####president.net/index.php?em#########################################
- su####tcaught.net/index.php?em#########################################
UDP:
- DNS ASK se####lcaught.net
- DNS ASK ma####alcaught.net
- DNS ASK se#####president.net
- DNS ASK ma#####lpresident.net
- DNS ASK se####master.net
- DNS ASK la###master.net
- DNS ASK se####continue.net
- DNS ASK la####ontinue.net
- DNS ASK ma####altrouble.net
- DNS ASK pr#####ypresident.net
- DNS ASK sw###caught.net
- DNS ASK pr####lytrouble.net
- DNS ASK sw####resident.net
- DNS ASK ma####alstrong.net
- DNS ASK se####ltrouble.net
- DNS ASK pr####lycaught.net
- DNS ASK se####lstrong.net
- DNS ASK mo####discover.net
- DNS ASK mo#####ncontinue.net
- DNS ASK mo####wonder.net
- DNS ASK si####discover.net
- DNS ASK po####lemaster.net
- DNS ASK mo####inwonder.net
- DNS ASK po#####econtinue.net
- DNS ASK mo####inmaster.net
- DNS ASK si####wonder.net
- DNS ASK se####discover.net
- DNS ASK la####iscover.net
- DNS ASK se####wonder.net
- DNS ASK la###wonder.net
- DNS ASK si####master.net
- DNS ASK mo####master.net
- DNS ASK si####continue.net
- DNS ASK mo####continue.net
- DNS ASK pe####sstrong.net
- DNS ASK wi####strong.net
- DNS ASK mo####incaught.net
- DNS ASK po####lecaught.net
- DNS ASK pe#####president.net
- DNS ASK wi####president.net
- DNS ASK pe####strouble.net
- DNS ASK wi####trouble.net
- DNS ASK po#####epresident.net
- DNS ASK mo####caught.net
- DNS ASK mo####instrong.net
- DNS ASK mo####president.net
- DNS ASK si####caught.net
- DNS ASK po####letrouble.net
- DNS ASK mo#####npresident.net
- DNS ASK po####lestrong.net
- DNS ASK mo####introuble.net
- DNS ASK le####resident.net
- DNS ASK fi####caught.net
- DNS ASK le####rouble.net
- DNS ASK fi####president.net
- DNS ASK pr####lystrong.net
- DNS ASK sw####rouble.net
- DNS ASK le###caught.net
- DNS ASK sw###strong.net
- DNS ASK fi####trouble.net
- DNS ASK su####tstrong.net
- DNS ASK su####ttrouble.net
- DNS ASK pe####scaught.net
- DNS ASK wi####caught.net
- DNS ASK fi####strong.net
- DNS ASK le###strong.net
- DNS ASK su#####president.net
- DNS ASK su####tcaught.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
