Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WLAN Mapper Identity RPC Modules' = '%APPDATA%\qwaeouv\paiasybi.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\qwaeouv\avfadiajzdps.exe' "%APPDATA%\qwaeouv\paiasybi.exe"
- '%APPDATA%\qwaeouv\paiasybi.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\qwaeouv\paiasybi.iu
- %APPDATA%\qwaeouv\avfadiajzdps.exe
- %APPDATA%\qwaeouv\paiasybi.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\qwaeouv\paiasybi.exe
Сетевая активность:
Подключается к:
- 'po####letrain.net':80
- 'mo####intrain.net':80
- 'po#####eelectricity.net':80
- 'mo#####nelectricity.net':80
- 'po####leborrow.net':80
- 'si####delight.net':80
- 'mo#####lectricity.net':80
- 'mo####inborrow.net':80
- 'mo####delight.net':80
- 'pe#####electricity.net':80
- 'wi###wtrain.net':80
- 'pe####sdelight.net':80
- 'wi#####lectricity.net':80
- 'pe####strain.net':80
- 'po####ledelight.net':80
- 'mo####indelight.net':80
- 'wi####borrow.net':80
- 'pe####sborrow.net':80
- 'si#####lectricity.net':80
- 'se####borrow.net':80
- 'ma#####lunderstood.net':80
- 'se###atrain.net':80
- 'la###borrow.net':80
- 'se#####understood.net':80
- 'ma####almeeting.net':80
- 'se####lmeeting.net':80
- 'ma####altwenty.net':80
- 'se####ltwenty.net':80
- 'mo####borrow.net':80
- 'si####borrow.net':80
- 'mo###rtrain.net':80
- 'si###etrain.net':80
- 'la####elight.net':80
- 'se#####lectricity.net':80
- 'la###train.net':80
- 'se####delight.net':80
- 'la#####ectricity.net':80
TCP:
Запросы HTTP GET:
- po####letrain.net/index.php?em##########################################
- mo####intrain.net/index.php?em##########################################
- po#####eelectricity.net/index.php?em##########################################
- mo#####nelectricity.net/index.php?em##########################################
- po####leborrow.net/index.php?em##########################################
- si####delight.net/index.php?em##########################################
- mo#####lectricity.net/index.php?em##########################################
- mo####inborrow.net/index.php?em##########################################
- mo####delight.net/index.php?em##########################################
- pe#####electricity.net/index.php?em##########################################
- wi###wtrain.net/index.php?em##########################################
- pe####sdelight.net/index.php?em##########################################
- wi#####lectricity.net/index.php?em##########################################
- pe####strain.net/index.php?em##########################################
- po####ledelight.net/index.php?em##########################################
- mo####indelight.net/index.php?em##########################################
- wi####borrow.net/index.php?em##########################################
- pe####sborrow.net/index.php?em##########################################
- si#####lectricity.net/index.php?em##########################################
- se####borrow.net/index.php?em##########################################
- ma#####lunderstood.net/index.php?em##########################################
- se###atrain.net/index.php?em##########################################
- la###borrow.net/index.php?em##########################################
- se#####understood.net/index.php?em##########################################
- ma####almeeting.net/index.php?em##########################################
- se####lmeeting.net/index.php?em##########################################
- ma####altwenty.net/index.php?em##########################################
- se####ltwenty.net/index.php?em##########################################
- mo####borrow.net/index.php?em##########################################
- si####borrow.net/index.php?em##########################################
- mo###rtrain.net/index.php?em##########################################
- si###etrain.net/index.php?em##########################################
- la####elight.net/index.php?em##########################################
- se#####lectricity.net/index.php?em##########################################
- la###train.net/index.php?em##########################################
- se####delight.net/index.php?em##########################################
- la#####ectricity.net/index.php?em##########################################
UDP:
- DNS ASK po####letrain.net
- DNS ASK mo####intrain.net
- DNS ASK po#####eelectricity.net
- DNS ASK mo#####nelectricity.net
- DNS ASK po####leborrow.net
- DNS ASK si####delight.net
- DNS ASK mo#####lectricity.net
- DNS ASK mo####inborrow.net
- DNS ASK mo####delight.net
- DNS ASK mo####indelight.net
- DNS ASK wi#####lectricity.net
- DNS ASK pe#####electricity.net
- DNS ASK wi####delight.net
- DNS ASK pe####sdelight.net
- DNS ASK wi###wtrain.net
- DNS ASK pe####sborrow.net
- DNS ASK po####ledelight.net
- DNS ASK pe####strain.net
- DNS ASK wi####borrow.net
- DNS ASK se####borrow.net
- DNS ASK ma#####lunderstood.net
- DNS ASK se###atrain.net
- DNS ASK la###borrow.net
- DNS ASK se#####understood.net
- DNS ASK ma####almeeting.net
- DNS ASK se####lmeeting.net
- DNS ASK ma####altwenty.net
- DNS ASK se####ltwenty.net
- DNS ASK la###train.net
- DNS ASK si###etrain.net
- DNS ASK mo####borrow.net
- DNS ASK si#####lectricity.net
- DNS ASK mo###rtrain.net
- DNS ASK si####borrow.net
- DNS ASK la#####ectricity.net
- DNS ASK se#####lectricity.net
- DNS ASK la####elight.net
- DNS ASK se####delight.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
