Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Netlogon Distributed Files Biometric' = '%APPDATA%\rarxabdcwdaxgfh\jgcvaxadekev.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\rarxabdcwdaxgfh\bihdiknezqjk.exe' "%APPDATA%\rarxabdcwdaxgfh\jgcvaxadekev.exe"
- '%APPDATA%\rarxabdcwdaxgfh\jgcvaxadekev.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\rarxabdcwdaxgfh\jgcvaxadekev.wrdx
- %APPDATA%\rarxabdcwdaxgfh\bihdiknezqjk.exe
- %APPDATA%\rarxabdcwdaxgfh\jgcvaxadekev.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\rarxabdcwdaxgfh\bihdiknezqjk.exe
- %APPDATA%\rarxabdcwdaxgfh\jgcvaxadekev.exe
Сетевая активность:
Подключается к:
- 'ch####enservice.net':80
- 'fa####service.net':80
- 'ch####ensuppose.net':80
- 'fa####suppose.net':80
- 'ch####enriver.net':80
- 'en####hmister.net':80
- 'ei####suppose.net':80
- 'fa###yriver.net':80
- 'ei####mister.net':80
- 'ci#####tesuppose.net':80
- 'pi####eservice.net':80
- 'ci####ttemister.net':80
- 'pi####esuppose.net':80
- 'ci#####teservice.net':80
- 'ch####enmister.net':80
- 'fa####mister.net':80
- 'pi####eriver.net':80
- 'ci####tteriver.net':80
- 'ex###tshare.net':80
- 'be####eshare.net':80
- 'ex###tshake.net':80
- 'be####eshake.net':80
- 'pe####nearly.net':80
- 'ma####ehappen.net':80
- 'pe###nshake.net':80
- 'ma####enearly.net':80
- 'pe####happen.net':80
- 'en####hservice.net':80
- 'ei###rriver.net':80
- 'en####hsuppose.net':80
- 'ei####service.net':80
- 'en####hriver.net':80
- 'ex####happen.net':80
- 'be####ehappen.net':80
- 'ex####nearly.net':80
- 'be####enearly.net':80
- 'pi####emister.net':80
- 'ma####eriver.net':80
- 'su####mister.net':80
- 'ma####eservice.net':80
- 'pe###nriver.net':80
- 'fo####nmister.net':80
- 'su####service.net':80
- 'fo####nservice.net':80
- 'su####suppose.net':80
- 'fo####nsuppose.net':80
- 'ex###triver.net':80
- 'be####eriver.net':80
- 'ex####service.net':80
- 'be####eservice.net':80
- 'pe####mister.net':80
- 'ma####esuppose.net':80
- 'pe####service.net':80
- 'ma####emister.net':80
- 'pe####suppose.net':80
- 'th####mister.net':80
- 'fi####suppose.net':80
- 'ri###river.net':80
- 'fi####mister.net':80
- 'th####suppose.net':80
- 'fi###eriver.net':80
- 'th###hriver.net':80
- 'fi####service.net':80
- 'th####service.net':80
- 'wh####rmister.net':80
- 'ri###mister.net':80
- 'su###nriver.net':80
- 'fo####nriver.net':80
- 'wh####rsuppose.net':80
- 'ri####ervice.net':80
- 'wh####rriver.net':80
- 'ri####uppose.net':80
- 'wh####rservice.net':80
TCP:
Запросы HTTP GET:
- ch####enservice.net/index.php?em######################################
- fa####service.net/index.php?em######################################
- ch####ensuppose.net/index.php?em######################################
- fa####suppose.net/index.php?em######################################
- ch####enriver.net/index.php?em######################################
- en####hmister.net/index.php?em######################################
- ei####suppose.net/index.php?em######################################
- fa###yriver.net/index.php?em######################################
- ei####mister.net/index.php?em######################################
- ci#####tesuppose.net/index.php?em######################################
- pi####eservice.net/index.php?em######################################
- ci####ttemister.net/index.php?em######################################
- pi####esuppose.net/index.php?em######################################
- ci#####teservice.net/index.php?em######################################
- ch####enmister.net/index.php?em######################################
- fa####mister.net/index.php?em######################################
- pi####eriver.net/index.php?em######################################
- ci####tteriver.net/index.php?em######################################
- ex###tshare.net/index.php?em######################################
- be####eshare.net/index.php?em######################################
- ex###tshake.net/index.php?em######################################
- be####eshake.net/index.php?em######################################
- pe####nearly.net/index.php?em######################################
- ma####ehappen.net/index.php?em######################################
- pe###nshake.net/index.php?em######################################
- ma####enearly.net/index.php?em######################################
- pe####happen.net/index.php?em######################################
- en####hservice.net/index.php?em######################################
- ei###rriver.net/index.php?em######################################
- en####hsuppose.net/index.php?em######################################
- ei####service.net/index.php?em######################################
- en####hriver.net/index.php?em######################################
- ex####happen.net/index.php?em######################################
- be####ehappen.net/index.php?em######################################
- ex####nearly.net/index.php?em######################################
- be####enearly.net/index.php?em######################################
- pi####emister.net/index.php?em######################################
- ma####eriver.net/index.php?em######################################
- su####mister.net/index.php?em######################################
- ma####eservice.net/index.php?em######################################
- pe###nriver.net/index.php?em######################################
- fo####nmister.net/index.php?em######################################
- su####service.net/index.php?em######################################
- fo####nservice.net/index.php?em######################################
- su####suppose.net/index.php?em######################################
- fo####nsuppose.net/index.php?em######################################
- ex###triver.net/index.php?em######################################
- be####eriver.net/index.php?em######################################
- ex####service.net/index.php?em######################################
- be####eservice.net/index.php?em######################################
- pe####mister.net/index.php?em######################################
- ma####esuppose.net/index.php?em######################################
- pe####service.net/index.php?em######################################
- ma####emister.net/index.php?em######################################
- pe####suppose.net/index.php?em######################################
- th####mister.net/index.php?em######################################
- fi####suppose.net/index.php?em######################################
- ri###river.net/index.php?em######################################
- fi####mister.net/index.php?em######################################
- th####suppose.net/index.php?em######################################
- fi###eriver.net/index.php?em######################################
- th###hriver.net/index.php?em######################################
- fi####service.net/index.php?em######################################
- th####service.net/index.php?em######################################
- wh####rmister.net/index.php?em######################################
- ri###mister.net/index.php?em######################################
- su###nriver.net/index.php?em######################################
- fo####nriver.net/index.php?em######################################
- wh####rsuppose.net/index.php?em######################################
- ri####ervice.net/index.php?em######################################
- wh####rriver.net/index.php?em######################################
- ri####uppose.net/index.php?em######################################
- wh####rservice.net/index.php?em######################################
UDP:
- DNS ASK ch####enservice.net
- DNS ASK fa####service.net
- DNS ASK ch####ensuppose.net
- DNS ASK fa####suppose.net
- DNS ASK ch####enriver.net
- DNS ASK en####hmister.net
- DNS ASK ei####suppose.net
- DNS ASK fa###yriver.net
- DNS ASK ei####mister.net
- DNS ASK ci#####tesuppose.net
- DNS ASK pi####eservice.net
- DNS ASK ci####ttemister.net
- DNS ASK pi####esuppose.net
- DNS ASK ci#####teservice.net
- DNS ASK ch####enmister.net
- DNS ASK fa####mister.net
- DNS ASK pi####eriver.net
- DNS ASK ci####tteriver.net
- DNS ASK en####hsuppose.net
- DNS ASK be####eshare.net
- DNS ASK pe####nearly.net
- DNS ASK be####eshake.net
- DNS ASK ex###tshare.net
- DNS ASK ma####enearly.net
- DNS ASK pe###nshake.net
- DNS ASK ma####eshake.net
- DNS ASK pe####happen.net
- DNS ASK ma####ehappen.net
- DNS ASK ei###rriver.net
- DNS ASK en####hriver.net
- DNS ASK ei####service.net
- DNS ASK en####hservice.net
- DNS ASK ex####nearly.net
- DNS ASK be####ehappen.net
- DNS ASK ex###tshake.net
- DNS ASK be####enearly.net
- DNS ASK ex####happen.net
- DNS ASK ma####eriver.net
- DNS ASK su####mister.net
- DNS ASK ma####eservice.net
- DNS ASK pe###nriver.net
- DNS ASK fo####nmister.net
- DNS ASK su####service.net
- DNS ASK fo####nservice.net
- DNS ASK su####suppose.net
- DNS ASK fo####nsuppose.net
- DNS ASK ex###triver.net
- DNS ASK be####eriver.net
- DNS ASK ex####service.net
- DNS ASK be####eservice.net
- DNS ASK pe####mister.net
- DNS ASK ma####esuppose.net
- DNS ASK pe####service.net
- DNS ASK ma####emister.net
- DNS ASK pe####suppose.net
- DNS ASK su###nriver.net
- DNS ASK fi####suppose.net
- DNS ASK th####suppose.net
- DNS ASK fi####mister.net
- DNS ASK th####mister.net
- DNS ASK fi####service.net
- DNS ASK th###hriver.net
- DNS ASK pi####emister.net
- DNS ASK th####service.net
- DNS ASK fi###eriver.net
- DNS ASK ri###mister.net
- DNS ASK wh####rsuppose.net
- DNS ASK fo####nriver.net
- DNS ASK wh####rmister.net
- DNS ASK ri####uppose.net
- DNS ASK wh####rriver.net
- DNS ASK ri###river.net
- DNS ASK wh####rservice.net
- DNS ASK ri####ervice.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
