Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Smart File Location Acquisition Human Secure' = '%APPDATA%\ubnaubboljft\rhrsjapqy.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ubnaubboljft\owatzwtnhl.exe' "%APPDATA%\ubnaubboljft\rhrsjapqy.exe"
- '%APPDATA%\ubnaubboljft\rhrsjapqy.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ubnaubboljft\rhrsjapqy.xvp
- %APPDATA%\ubnaubboljft\owatzwtnhl.exe
- %APPDATA%\ubnaubboljft\rhrsjapqy.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ubnaubboljft\owatzwtnhl.exe
- %APPDATA%\ubnaubboljft\rhrsjapqy.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'su####tspring.net':80
- 'su####tfound.net':80
- 'su####tbanker.net':80
- 'su####tsuccess.net':80
- 'wi###rfound.net':80
- 'wi####success.net':80
- 'pe####ssuccess.net':80
- 'wi####banker.net':80
- 'pe####sbanker.net':80
- 'fi###hfound.net':80
- 'le###banker.net':80
- 'fi####banker.net':80
- 'pr####lyfound.net':80
- 'sw###found.net':80
- 'le####uccess.net':80
- 'fi####spring.net':80
- 'le###found.net':80
- 'fi####success.net':80
- 'le###spring.net':80
- 'mo####banker.net':80
- 'si####banker.net':80
- 'po####lefound.net':80
- 'mo####infound.net':80
- 'mo####success.net':80
- 'si####spring.net':80
- 'mo###rfound.net':80
- 'si####success.net':80
- 'mo####spring.net':80
- 'mo####inspring.net':80
- 'wi###wfound.net':80
- 'pe####sfound.net':80
- 'wi####spring.net':80
- 'pe####sspring.net':80
- 'po####lebanker.net':80
- 'mo####insuccess.net':80
- 'po####lespring.net':80
- 'mo####inbanker.net':80
- 'po####lesuccess.net':80
TCP:
Запросы HTTP GET:
- su####tspring.net/index.php?em##########################################
- su####tfound.net/index.php?em##########################################
- su####tbanker.net/index.php?em##########################################
- su####tsuccess.net/index.php?em##########################################
- wi###rfound.net/index.php?em##########################################
- wi####success.net/index.php?em##########################################
- pe####ssuccess.net/index.php?em##########################################
- wi####banker.net/index.php?em##########################################
- pe####sbanker.net/index.php?em##########################################
- fi###hfound.net/index.php?em##########################################
- le###banker.net/index.php?em##########################################
- fi####banker.net/index.php?em##########################################
- pr####lyfound.net/index.php?em##########################################
- sw###found.net/index.php?em##########################################
- le####uccess.net/index.php?em##########################################
- fi####spring.net/index.php?em##########################################
- le###found.net/index.php?em##########################################
- fi####success.net/index.php?em##########################################
- le###spring.net/index.php?em##########################################
- mo####banker.net/index.php?em##########################################
- si####banker.net/index.php?em##########################################
- po####lefound.net/index.php?em##########################################
- mo####infound.net/index.php?em##########################################
- mo####success.net/index.php?em##########################################
- si####spring.net/index.php?em##########################################
- mo###rfound.net/index.php?em##########################################
- si####success.net/index.php?em##########################################
- mo####spring.net/index.php?em##########################################
- mo####inspring.net/index.php?em##########################################
- wi###wfound.net/index.php?em##########################################
- pe####sfound.net/index.php?em##########################################
- wi####spring.net/index.php?em##########################################
- pe####sspring.net/index.php?em##########################################
- po####lebanker.net/index.php?em##########################################
- mo####insuccess.net/index.php?em##########################################
- po####lespring.net/index.php?em##########################################
- mo####inbanker.net/index.php?em##########################################
- po####lesuccess.net/index.php?em##########################################
UDP:
- DNS ASK su####tsuccess.net
- DNS ASK su####tspring.net
- DNS ASK fi###hfound.net
- DNS ASK su####tbanker.net
- DNS ASK su####tfound.net
- DNS ASK pe####sbanker.net
- DNS ASK wi####success.net
- DNS ASK wi###rfound.net
- DNS ASK wi####banker.net
- DNS ASK le###found.net
- DNS ASK sw###found.net
- DNS ASK le###banker.net
- DNS ASK sw###spring.net
- DNS ASK pr####lyfound.net
- DNS ASK fi####banker.net
- DNS ASK le###spring.net
- DNS ASK fi####spring.net
- DNS ASK le####uccess.net
- DNS ASK fi####success.net
- DNS ASK pe####ssuccess.net
- DNS ASK mo####banker.net
- DNS ASK si####banker.net
- DNS ASK po####lefound.net
- DNS ASK mo####infound.net
- DNS ASK mo####success.net
- DNS ASK si####spring.net
- DNS ASK mo###rfound.net
- DNS ASK si####success.net
- DNS ASK mo####spring.net
- DNS ASK mo####inspring.net
- DNS ASK wi###wfound.net
- DNS ASK pe####sfound.net
- DNS ASK wi####spring.net
- DNS ASK pe####sspring.net
- DNS ASK po####lebanker.net
- DNS ASK mo####insuccess.net
- DNS ASK po####lespring.net
- DNS ASK mo####inbanker.net
- DNS ASK po####lesuccess.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
