Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Net.Tcp Remote Sharing Virtual Quality' = '%APPDATA%\zzmlgwjhm\rpoimhvgip.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\zzmlgwjhm\bgnsoot.exe' "%APPDATA%\zzmlgwjhm\rpoimhvgip.exe"
- '%APPDATA%\zzmlgwjhm\rpoimhvgip.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\zzmlgwjhm\rpoimhvgip.cui
- %APPDATA%\zzmlgwjhm\bgnsoot.exe
- %APPDATA%\zzmlgwjhm\rpoimhvgip.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\zzmlgwjhm\rpoimhvgip.exe
Сетевая активность:
Подключается к:
- 'su####between.net':80
- 'fo####nbetween.net':80
- 'fo####nsucceed.net':80
- 'ma####estudent.net':80
- 'su####succeed.net':80
- 'fo####nstudent.net':80
- 'wh####rsucceed.net':80
- 'su####student.net':80
- 'su####produce.net':80
- 'fo####nproduce.net':80
- 'pe####student.net':80
- 'be####estudent.net':80
- 'pe####succeed.net':80
- 'ex####student.net':80
- 'ex####produce.net':80
- 'be####eproduce.net':80
- 'pe####produce.net':80
- 'ma####eproduce.net':80
- 'ma####ebetween.net':80
- 'ma####esucceed.net':80
- 'pe####between.net':80
- 'th####student.net':80
- 'pi####esucceed.net':80
- 'fi####student.net':80
- 'fi####produce.net':80
- 'th####produce.net':80
- 'pi####eproduce.net':80
- 'ci#####teproduce.net':80
- 'ci#####tebetween.net':80
- 'ci#####tesucceed.net':80
- 'pi####ebetween.net':80
- 'th####between.net':80
- 'wh####rproduce.net':80
- 'ri####roduce.net':80
- 'ri####etween.net':80
- 'ri####ucceed.net':80
- 'wh####rbetween.net':80
- 'th####succeed.net':80
- 'fi####between.net':80
- 'fi####succeed.net':80
- 'wh####rstudent.net':80
- 'ri####tudent.net':80
- 'be####ebetween.net':80
- 'th###hshare.net':80
- 'pi####enearly.net':80
- 'fi###eshare.net':80
- 'fi###eshake.net':80
- 'th###hshake.net':80
- 'pi####eshake.net':80
- 'ci####tteshake.net':80
- 'ci####ttehappen.net':80
- 'ci####ttenearly.net':80
- 'pi####ehappen.net':80
- 'th####happen.net':80
- 'wh####rshake.net':80
- 'ri###shake.net':80
- 'ri###happen.net':80
- 'ri###nearly.net':80
- 'wh####rhappen.net':80
- 'th####nearly.net':80
- 'fi####happen.net':80
- 'fi####nearly.net':80
- 'wh####rshare.net':80
- 'ri###share.net':80
- 'ei###rshake.net':80
- 'en####hshake.net':80
- 'en####hhappen.net':80
- 'en####hnearly.net':80
- 'ei####happen.net':80
- 'be####esucceed.net':80
- 'ex####between.net':80
- 'ex####succeed.net':80
- 'ei###rshare.net':80
- 'en####hshare.net':80
- 'ei####nearly.net':80
- 'fa####nearly.net':80
- 'ch####enhappen.net':80
- 'ch####ennearly.net':80
- 'pi####eshare.net':80
- 'ci####tteshare.net':80
- 'ch####enshare.net':80
- 'fa###yshare.net':80
- 'fa###yshake.net':80
- 'fa####happen.net':80
- 'ch####enshake.net':80
TCP:
Запросы HTTP GET:
- su####between.net/index.php?em################################################
- fo####nbetween.net/index.php?em################################################
- fo####nsucceed.net/index.php?em################################################
- ma####estudent.net/index.php?em################################################
- su####succeed.net/index.php?em################################################
- fo####nstudent.net/index.php?em################################################
- wh####rsucceed.net/index.php?em################################################
- su####student.net/index.php?em################################################
- su####produce.net/index.php?em################################################
- fo####nproduce.net/index.php?em################################################
- pe####student.net/index.php?em################################################
- be####estudent.net/index.php?em################################################
- pe####succeed.net/index.php?em################################################
- ex####student.net/index.php?em################################################
- ex####produce.net/index.php?em################################################
- be####eproduce.net/index.php?em################################################
- pe####produce.net/index.php?em################################################
- ma####eproduce.net/index.php?em################################################
- ma####ebetween.net/index.php?em################################################
- ma####esucceed.net/index.php?em################################################
- pe####between.net/index.php?em################################################
- th####student.net/index.php?em################################################
- pi####esucceed.net/index.php?em################################################
- fi####student.net/index.php?em################################################
- fi####produce.net/index.php?em################################################
- th####produce.net/index.php?em################################################
- pi####eproduce.net/index.php?em################################################
- ci#####teproduce.net/index.php?em################################################
- ci#####tebetween.net/index.php?em################################################
- ci#####tesucceed.net/index.php?em################################################
- pi####ebetween.net/index.php?em################################################
- th####between.net/index.php?em################################################
- wh####rproduce.net/index.php?em################################################
- ri####roduce.net/index.php?em################################################
- ri####etween.net/index.php?em################################################
- ri####ucceed.net/index.php?em################################################
- wh####rbetween.net/index.php?em################################################
- th####succeed.net/index.php?em################################################
- fi####between.net/index.php?em################################################
- fi####succeed.net/index.php?em################################################
- wh####rstudent.net/index.php?em################################################
- ri####tudent.net/index.php?em################################################
- be####ebetween.net/index.php?em################################################
- th###hshare.net/index.php?em################################################
- pi####enearly.net/index.php?em################################################
- fi###eshare.net/index.php?em################################################
- fi###eshake.net/index.php?em################################################
- th###hshake.net/index.php?em################################################
- pi####eshake.net/index.php?em################################################
- ci####tteshake.net/index.php?em################################################
- ci####ttehappen.net/index.php?em################################################
- ci####ttenearly.net/index.php?em################################################
- pi####ehappen.net/index.php?em################################################
- th####happen.net/index.php?em################################################
- wh####rshake.net/index.php?em################################################
- ri###shake.net/index.php?em################################################
- ri###happen.net/index.php?em################################################
- ri###nearly.net/index.php?em################################################
- wh####rhappen.net/index.php?em################################################
- th####nearly.net/index.php?em################################################
- fi####happen.net/index.php?em################################################
- fi####nearly.net/index.php?em################################################
- wh####rshare.net/index.php?em################################################
- ri###share.net/index.php?em################################################
- ei###rshake.net/index.php?em################################################
- en####hshake.net/index.php?em################################################
- en####hhappen.net/index.php?em################################################
- en####hnearly.net/index.php?em################################################
- ei####happen.net/index.php?em################################################
- be####esucceed.net/index.php?em################################################
- ex####between.net/index.php?em################################################
- ex####succeed.net/index.php?em################################################
- ei###rshare.net/index.php?em################################################
- en####hshare.net/index.php?em################################################
- ei####nearly.net/index.php?em################################################
- fa####nearly.net/index.php?em################################################
- ch####enhappen.net/index.php?em################################################
- ch####ennearly.net/index.php?em################################################
- pi####eshare.net/index.php?em################################################
- ci####tteshare.net/index.php?em################################################
- ch####enshare.net/index.php?em################################################
- fa###yshare.net/index.php?em################################################
- fa###yshake.net/index.php?em################################################
- fa####happen.net/index.php?em################################################
- ch####enshake.net/index.php?em################################################
UDP:
- DNS ASK su####between.net
- DNS ASK fo####nbetween.net
- DNS ASK fo####nsucceed.net
- DNS ASK ma####estudent.net
- DNS ASK su####succeed.net
- DNS ASK fo####nstudent.net
- DNS ASK wh####rsucceed.net
- DNS ASK su####student.net
- DNS ASK su####produce.net
- DNS ASK fo####nproduce.net
- DNS ASK pe####student.net
- DNS ASK be####estudent.net
- DNS ASK pe####succeed.net
- DNS ASK ex####student.net
- DNS ASK ex####produce.net
- DNS ASK be####eproduce.net
- DNS ASK pe####produce.net
- DNS ASK ma####eproduce.net
- DNS ASK ma####ebetween.net
- DNS ASK ma####esucceed.net
- DNS ASK pe####between.net
- DNS ASK th####student.net
- DNS ASK pi####esucceed.net
- DNS ASK fi####student.net
- DNS ASK fi####produce.net
- DNS ASK th####produce.net
- DNS ASK pi####eproduce.net
- DNS ASK ci#####teproduce.net
- DNS ASK ci#####tebetween.net
- DNS ASK ci#####tesucceed.net
- DNS ASK pi####ebetween.net
- DNS ASK th####between.net
- DNS ASK wh####rproduce.net
- DNS ASK ri####roduce.net
- DNS ASK ri####etween.net
- DNS ASK ri####ucceed.net
- DNS ASK wh####rbetween.net
- DNS ASK th####succeed.net
- DNS ASK fi####between.net
- DNS ASK fi####succeed.net
- DNS ASK wh####rstudent.net
- DNS ASK ri####tudent.net
- DNS ASK be####ebetween.net
- DNS ASK th###hshare.net
- DNS ASK pi####enearly.net
- DNS ASK fi###eshare.net
- DNS ASK fi###eshake.net
- DNS ASK th###hshake.net
- DNS ASK pi####eshake.net
- DNS ASK ci####tteshake.net
- DNS ASK ci####ttehappen.net
- DNS ASK ci####ttenearly.net
- DNS ASK pi####ehappen.net
- DNS ASK th####happen.net
- DNS ASK wh####rshake.net
- DNS ASK ri###shake.net
- DNS ASK ri###happen.net
- DNS ASK ri###nearly.net
- DNS ASK wh####rhappen.net
- DNS ASK th####nearly.net
- DNS ASK fi####happen.net
- DNS ASK fi####nearly.net
- DNS ASK wh####rshare.net
- DNS ASK ri###share.net
- DNS ASK ei###rshake.net
- DNS ASK en####hshake.net
- DNS ASK en####hhappen.net
- DNS ASK en####hnearly.net
- DNS ASK ei####happen.net
- DNS ASK be####esucceed.net
- DNS ASK ex####between.net
- DNS ASK ex####succeed.net
- DNS ASK ei###rshare.net
- DNS ASK en####hshare.net
- DNS ASK ei####nearly.net
- DNS ASK fa####nearly.net
- DNS ASK ch####enhappen.net
- DNS ASK ch####ennearly.net
- DNS ASK pi####eshare.net
- DNS ASK ci####tteshare.net
- DNS ASK ch####enshare.net
- DNS ASK fa###yshare.net
- DNS ASK fa###yshake.net
- DNS ASK fa####happen.net
- DNS ASK ch####enshake.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
