Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Power Support Secure Engine Presentation' = '%APPDATA%\uyjlwkojyy\ectovvm.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\uyjlwkojyy\edeklbwzlf.exe' "%APPDATA%\uyjlwkojyy\ectovvm.exe"
- '%APPDATA%\uyjlwkojyy\ectovvm.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\uyjlwkojyy\ectovvm.hpzo
- %APPDATA%\uyjlwkojyy\edeklbwzlf.exe
- %APPDATA%\uyjlwkojyy\ectovvm.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\uyjlwkojyy\ectovvm.exe
Сетевая активность:
Подключается к:
- 'ma####aldevice.net':80
- 'se####ldevice.net':80
- 'se####lbefore.net':80
- 'se###afound.net':80
- 'ma####albefore.net':80
- 'se####lsettle.net':80
- 'pr####lybefore.net':80
- 'ma####alsettle.net':80
- 'ma#####llanguage.net':80
- 'se####llanguage.net':80
- 'la###found.net':80
- 'si###efound.net':80
- 'la###banker.net':80
- 'mo###rfound.net':80
- 'mo####spring.net':80
- 'si####spring.net':80
- 'la###spring.net':80
- 'se####spring.net':80
- 'se####success.net':80
- 'se####banker.net':80
- 'la####uccess.net':80
- 'sw###before.net':80
- 'su####tbefore.net':80
- 'wi####before.net':80
- 'fi####settle.net':80
- 'fi####language.net':80
- 'le###settle.net':80
- 'wi####language.net':80
- 'su####tsettle.net':80
- 'su####tlanguage.net':80
- 'su####tdevice.net':80
- 'wi####device.net':80
- 'le####anguage.net':80
- 'sw####anguage.net':80
- 'pr####lysettle.net':80
- 'pr#####ylanguage.net':80
- 'pr####lydevice.net':80
- 'sw###device.net':80
- 'le###device.net':80
- 'fi####device.net':80
- 'fi####before.net':80
- 'sw###settle.net':80
- 'le###before.net':80
TCP:
Запросы HTTP GET:
- ma####aldevice.net/index.php?em###########################################
- se####ldevice.net/index.php?em###########################################
- se####lbefore.net/index.php?em###########################################
- se###afound.net/index.php?em###########################################
- ma####albefore.net/index.php?em###########################################
- se####lsettle.net/index.php?em###########################################
- pr####lybefore.net/index.php?em###########################################
- ma####alsettle.net/index.php?em###########################################
- ma#####llanguage.net/index.php?em###########################################
- se####llanguage.net/index.php?em###########################################
- la###found.net/index.php?em###########################################
- si###efound.net/index.php?em###########################################
- la###banker.net/index.php?em###########################################
- mo###rfound.net/index.php?em###########################################
- mo####spring.net/index.php?em###########################################
- si####spring.net/index.php?em###########################################
- la###spring.net/index.php?em###########################################
- se####spring.net/index.php?em###########################################
- se####success.net/index.php?em###########################################
- se####banker.net/index.php?em###########################################
- la####uccess.net/index.php?em###########################################
- sw###before.net/index.php?em###########################################
- su####tbefore.net/index.php?em###########################################
- wi####before.net/index.php?em###########################################
- fi####settle.net/index.php?em###########################################
- fi####language.net/index.php?em###########################################
- le###settle.net/index.php?em###########################################
- wi####language.net/index.php?em###########################################
- su####tsettle.net/index.php?em###########################################
- su####tlanguage.net/index.php?em###########################################
- su####tdevice.net/index.php?em###########################################
- wi####device.net/index.php?em###########################################
- le####anguage.net/index.php?em###########################################
- sw####anguage.net/index.php?em###########################################
- pr####lysettle.net/index.php?em###########################################
- pr#####ylanguage.net/index.php?em###########################################
- pr####lydevice.net/index.php?em###########################################
- sw###device.net/index.php?em###########################################
- le###device.net/index.php?em###########################################
- fi####device.net/index.php?em###########################################
- fi####before.net/index.php?em###########################################
- sw###settle.net/index.php?em###########################################
- le###before.net/index.php?em###########################################
UDP:
- DNS ASK ma####aldevice.net
- DNS ASK se####ldevice.net
- DNS ASK se####lbefore.net
- DNS ASK se###afound.net
- DNS ASK ma####albefore.net
- DNS ASK se####lsettle.net
- DNS ASK pr####lybefore.net
- DNS ASK ma####alsettle.net
- DNS ASK ma#####llanguage.net
- DNS ASK se####llanguage.net
- DNS ASK la###found.net
- DNS ASK si###efound.net
- DNS ASK la###banker.net
- DNS ASK mo###rfound.net
- DNS ASK mo####spring.net
- DNS ASK si####spring.net
- DNS ASK la###spring.net
- DNS ASK se####spring.net
- DNS ASK se####success.net
- DNS ASK se####banker.net
- DNS ASK la####uccess.net
- DNS ASK sw###before.net
- DNS ASK su####tbefore.net
- DNS ASK wi####before.net
- DNS ASK fi####settle.net
- DNS ASK fi####language.net
- DNS ASK le###settle.net
- DNS ASK wi####language.net
- DNS ASK su####tsettle.net
- DNS ASK su####tlanguage.net
- DNS ASK su####tdevice.net
- DNS ASK wi####device.net
- DNS ASK le####anguage.net
- DNS ASK sw####anguage.net
- DNS ASK pr####lysettle.net
- DNS ASK pr#####ylanguage.net
- DNS ASK pr####lydevice.net
- DNS ASK sw###device.net
- DNS ASK le###device.net
- DNS ASK fi####device.net
- DNS ASK fi####before.net
- DNS ASK sw###settle.net
- DNS ASK le###before.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
