Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Support Helper Topology Redirector' = '%APPDATA%\ujtwyfvunhw\hlbbhfzpqkwz.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ujtwyfvunhw\teynkfsqr.exe' "%APPDATA%\ujtwyfvunhw\hlbbhfzpqkwz.exe"
- '%APPDATA%\ujtwyfvunhw\hlbbhfzpqkwz.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ujtwyfvunhw\hlbbhfzpqkwz.drrfv
- %APPDATA%\ujtwyfvunhw\teynkfsqr.exe
- %APPDATA%\ujtwyfvunhw\hlbbhfzpqkwz.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ujtwyfvunhw\hlbbhfzpqkwz.exe
Сетевая активность:
Подключается к:
- 'ex###triver.net':80
- 'be####eservice.net':80
- 'pe####mister.net':80
- 'be####eriver.net':80
- 'ex####service.net':80
- 'be####emister.net':80
- 'ex####mister.net':80
- 'be####esuppose.net':80
- 'ex####suppose.net':80
- 'ma####eriver.net':80
- 'pe###nriver.net':80
- 'fo####nmister.net':80
- 'su####mister.net':80
- 'ma####eservice.net':80
- 'pe####suppose.net':80
- 'ma####emister.net':80
- 'pe####service.net':80
- 'ma####esuppose.net':80
- 'en####harticle.net':80
- 'fa####fifteen.net':80
- 'ch####enfifteen.net':80
- 'fa###yangry.net':80
- 'ch####enangry.net':80
- 'fa###ydried.net':80
- 'pi####earticle.net':80
- 'ci####tteangry.net':80
- 'ch####endried.net':80
- 'ci#####tearticle.net':80
- 'ei###rangry.net':80
- 'en####hfifteen.net':80
- 'ei####article.net':80
- 'en####hangry.net':80
- 'ei####fifteen.net':80
- 'fa####article.net':80
- 'ch####enarticle.net':80
- 'en####hdried.net':80
- 'ei###rdried.net':80
TCP:
Запросы HTTP GET:
- ex###triver.net/index.php?em##############################################
- be####eservice.net/index.php?em##############################################
- pe####mister.net/index.php?em##############################################
- be####eriver.net/index.php?em##############################################
- ex####service.net/index.php?em##############################################
- be####emister.net/index.php?em##############################################
- ex####mister.net/index.php?em##############################################
- be####esuppose.net/index.php?em##############################################
- ex####suppose.net/index.php?em##############################################
- ma####eriver.net/index.php?em##############################################
- pe###nriver.net/index.php?em##############################################
- fo####nmister.net/index.php?em##############################################
- su####mister.net/index.php?em##############################################
- ma####eservice.net/index.php?em##############################################
- pe####suppose.net/index.php?em##############################################
- ma####emister.net/index.php?em##############################################
- pe####service.net/index.php?em##############################################
- ma####esuppose.net/index.php?em##############################################
- en####harticle.net/index.php?em##############################################
- fa####fifteen.net/index.php?em##############################################
- ch####enfifteen.net/index.php?em##############################################
- fa###yangry.net/index.php?em##############################################
- ch####enangry.net/index.php?em##############################################
- fa###ydried.net/index.php?em##############################################
- pi####earticle.net/index.php?em##############################################
- ci####tteangry.net/index.php?em##############################################
- ch####endried.net/index.php?em##############################################
- ci#####tearticle.net/index.php?em##############################################
- ei###rangry.net/index.php?em##############################################
- en####hfifteen.net/index.php?em##############################################
- ei####article.net/index.php?em##############################################
- en####hangry.net/index.php?em##############################################
- ei####fifteen.net/index.php?em##############################################
- fa####article.net/index.php?em##############################################
- ch####enarticle.net/index.php?em##############################################
- en####hdried.net/index.php?em##############################################
- ei###rdried.net/index.php?em##############################################
UDP:
- DNS ASK ex###triver.net
- DNS ASK be####eservice.net
- DNS ASK pe####mister.net
- DNS ASK be####eriver.net
- DNS ASK ex####service.net
- DNS ASK be####emister.net
- DNS ASK ex####mister.net
- DNS ASK be####esuppose.net
- DNS ASK ex####suppose.net
- DNS ASK ma####eriver.net
- DNS ASK pe###nriver.net
- DNS ASK fo####nmister.net
- DNS ASK su####mister.net
- DNS ASK ma####eservice.net
- DNS ASK pe####suppose.net
- DNS ASK ma####emister.net
- DNS ASK pe####service.net
- DNS ASK ma####esuppose.net
- DNS ASK en####harticle.net
- DNS ASK fa####fifteen.net
- DNS ASK ch####enfifteen.net
- DNS ASK fa###yangry.net
- DNS ASK ch####enangry.net
- DNS ASK fa###ydried.net
- DNS ASK pi####earticle.net
- DNS ASK ci####tteangry.net
- DNS ASK ch####endried.net
- DNS ASK ci#####tearticle.net
- DNS ASK ei###rangry.net
- DNS ASK en####hfifteen.net
- DNS ASK ei####article.net
- DNS ASK en####hangry.net
- DNS ASK ei####fifteen.net
- DNS ASK fa####article.net
- DNS ASK ch####enarticle.net
- DNS ASK en####hdried.net
- DNS ASK ei###rdried.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
