Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Cryptographic COM WinHTTP' = '%APPDATA%\ttfynuayp\vsvspvoeem.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ttfynuayp\stpdtks.exe' "%APPDATA%\ttfynuayp\vsvspvoeem.exe"
- '%APPDATA%\ttfynuayp\vsvspvoeem.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ttfynuayp\vsvspvoeem.lj1
- %APPDATA%\ttfynuayp\stpdtks.exe
- %APPDATA%\ttfynuayp\vsvspvoeem.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ttfynuayp\stpdtks.exe
- %APPDATA%\ttfynuayp\vsvspvoeem.exe
Сетевая активность:
Подключается к:
- 'pe####square.net':80
- 'ma####eattempt.net':80
- 'pe####attempt.net':80
- 'ma####esquare.net':80
- 'pe####spread.net':80
- 'ma####eneighbor.net':80
- 'pe####neighbor.net':80
- 'be####esquare.net':80
- 'ex####square.net':80
- 'be####eattempt.net':80
- 'ex####neighbor.net':80
- 'be####espread.net':80
- 'ex####spread.net':80
- 'be####eneighbor.net':80
- 'wh####rattempt.net':80
- 'fo####nspread.net':80
- 'su####spread.net':80
- 'ri####ttempt.net':80
- 'wh####rneighbor.net':80
- 'ri###square.net':80
- 'wh####rsquare.net':80
- 'fo####nattempt.net':80
- 'su####attempt.net':80
- 'ma####espread.net':80
- 'su####square.net':80
- 'fo####nneighbor.net':80
- 'su####neighbor.net':80
- 'fo####nsquare.net':80
- 'ex####attempt.net':80
- 'ci####ttestrike.net':80
- 'pi####estrike.net':80
- 'ci#####teposition.net':80
- 'pi####epartial.net':80
- 'fa####number.net':80
- 'ch####ennumber.net':80
- 'ci#####tepartial.net':80
- 'fi####partial.net':80
- 'th####strike.net':80
- 'fi####strike.net':80
- 'th####partial.net':80
- 'pi####eposition.net':80
- 'ci####ttenumber.net':80
- 'pi####enumber.net':80
- 'en####hposition.net':80
- 'ei####position.net':80
- 'en####hnumber.net':80
- 'ei####strike.net':80
- 'en####hpartial.net':80
- 'ei####partial.net':80
- 'en####hstrike.net':80
- 'ch####enstrike.net':80
- 'fa####position.net':80
- 'ch#####nposition.net':80
- 'fa####strike.net':80
- 'ei####number.net':80
- 'fa####partial.net':80
- 'ch####enpartial.net':80
TCP:
Запросы HTTP GET:
- pe####square.net/forum/search.php?em####################################
- ma####eattempt.net/forum/search.php?em####################################
- pe####attempt.net/forum/search.php?em####################################
- ma####esquare.net/forum/search.php?em####################################
- pe####spread.net/forum/search.php?em####################################
- ma####eneighbor.net/forum/search.php?em####################################
- pe####neighbor.net/forum/search.php?em####################################
- be####esquare.net/forum/search.php?em####################################
- ex####square.net/forum/search.php?em####################################
- be####eattempt.net/forum/search.php?em####################################
- ex####neighbor.net/forum/search.php?em####################################
- be####espread.net/forum/search.php?em####################################
- ex####spread.net/forum/search.php?em####################################
- be####eneighbor.net/forum/search.php?em####################################
- wh####rattempt.net/forum/search.php?em####################################
- fo####nspread.net/forum/search.php?em####################################
- su####spread.net/forum/search.php?em####################################
- ri####ttempt.net/forum/search.php?em####################################
- wh####rneighbor.net/forum/search.php?em####################################
- ri###square.net/forum/search.php?em####################################
- wh####rsquare.net/forum/search.php?em####################################
- fo####nattempt.net/forum/search.php?em####################################
- su####attempt.net/forum/search.php?em####################################
- ma####espread.net/forum/search.php?em####################################
- su####square.net/forum/search.php?em####################################
- fo####nneighbor.net/forum/search.php?em####################################
- su####neighbor.net/forum/search.php?em####################################
- fo####nsquare.net/forum/search.php?em####################################
- ex####attempt.net/forum/search.php?em####################################
- ci####ttestrike.net/forum/search.php?em####################################
- pi####estrike.net/forum/search.php?em####################################
- ci#####teposition.net/forum/search.php?em####################################
- pi####epartial.net/forum/search.php?em####################################
- fa####number.net/forum/search.php?em####################################
- ch####ennumber.net/forum/search.php?em####################################
- ci#####tepartial.net/forum/search.php?em####################################
- fi####partial.net/forum/search.php?em####################################
- th####strike.net/forum/search.php?em####################################
- fi####strike.net/forum/search.php?em####################################
- th####partial.net/forum/search.php?em####################################
- pi####eposition.net/forum/search.php?em####################################
- ci####ttenumber.net/forum/search.php?em####################################
- pi####enumber.net/forum/search.php?em####################################
- en####hposition.net/forum/search.php?em####################################
- ei####position.net/forum/search.php?em####################################
- en####hnumber.net/forum/search.php?em####################################
- ei####strike.net/forum/search.php?em####################################
- en####hpartial.net/forum/search.php?em####################################
- ei####partial.net/forum/search.php?em####################################
- en####hstrike.net/forum/search.php?em####################################
- ch####enstrike.net/forum/search.php?em####################################
- fa####position.net/forum/search.php?em####################################
- ch#####nposition.net/forum/search.php?em####################################
- fa####strike.net/forum/search.php?em####################################
- ei####number.net/forum/search.php?em####################################
- fa####partial.net/forum/search.php?em####################################
- ch####enpartial.net/forum/search.php?em####################################
UDP:
- DNS ASK pe####square.net
- DNS ASK ma####eattempt.net
- DNS ASK pe####attempt.net
- DNS ASK ma####esquare.net
- DNS ASK pe####spread.net
- DNS ASK ma####eneighbor.net
- DNS ASK pe####neighbor.net
- DNS ASK be####esquare.net
- DNS ASK ex####square.net
- DNS ASK be####eattempt.net
- DNS ASK ex####neighbor.net
- DNS ASK be####espread.net
- DNS ASK ex####spread.net
- DNS ASK be####eneighbor.net
- DNS ASK ma####espread.net
- DNS ASK ri####ttempt.net
- DNS ASK wh####rattempt.net
- DNS ASK fo####nspread.net
- DNS ASK wh####rsquare.net
- DNS ASK ri####eighbor.net
- DNS ASK wh####rneighbor.net
- DNS ASK ri###square.net
- DNS ASK su####square.net
- DNS ASK fo####nattempt.net
- DNS ASK su####attempt.net
- DNS ASK fo####nsquare.net
- DNS ASK su####spread.net
- DNS ASK fo####nneighbor.net
- DNS ASK su####neighbor.net
- DNS ASK ci####ttestrike.net
- DNS ASK pi####estrike.net
- DNS ASK ci#####teposition.net
- DNS ASK pi####epartial.net
- DNS ASK fa####number.net
- DNS ASK ch####ennumber.net
- DNS ASK ci#####tepartial.net
- DNS ASK fi####partial.net
- DNS ASK th####strike.net
- DNS ASK fi####strike.net
- DNS ASK th####partial.net
- DNS ASK pi####eposition.net
- DNS ASK ci####ttenumber.net
- DNS ASK pi####enumber.net
- DNS ASK ch#####nposition.net
- DNS ASK ei####strike.net
- DNS ASK en####hposition.net
- DNS ASK ei####position.net
- DNS ASK en####hstrike.net
- DNS ASK ex####attempt.net
- DNS ASK en####hpartial.net
- DNS ASK ei####partial.net
- DNS ASK fa####strike.net
- DNS ASK ch####enstrike.net
- DNS ASK fa####position.net
- DNS ASK ch####enpartial.net
- DNS ASK en####hnumber.net
- DNS ASK ei####number.net
- DNS ASK fa####partial.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
