Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Security Distributed Trap' = '%APPDATA%\loomtcoqhkv\ewemgnnsbeyo.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\loomtcoqhkv\vfxarzvid.exe' "%APPDATA%\loomtcoqhkv\ewemgnnsbeyo.exe"
- '%APPDATA%\loomtcoqhkv\ewemgnnsbeyo.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\loomtcoqhkv\ewemgnnsbeyo.rzmb
- %APPDATA%\loomtcoqhkv\vfxarzvid.exe
- %APPDATA%\loomtcoqhkv\ewemgnnsbeyo.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\loomtcoqhkv\vfxarzvid.exe
- %APPDATA%\loomtcoqhkv\ewemgnnsbeyo.exe
Сетевая активность:
Подключается к:
- 'si####attempt.net':80
- 'mo####attempt.net':80
- 'si####square.net':80
- 'la###spread.net':80
- 'se####neighbor.net':80
- 'la####eighbor.net':80
- 'se####spread.net':80
- 'mo####square.net':80
- 'mo####inattempt.net':80
- 'po####leattempt.net':80
- 'mo####insquare.net':80
- 'mo####spread.net':80
- 'si####neighbor.net':80
- 'mo####neighbor.net':80
- 'si####spread.net':80
- 'ma####alnumber.net':80
- 'se####lposition.net':80
- 'ma#####lposition.net':80
- 'se####lnumber.net':80
- 'pr####lystrike.net':80
- 'sw####artial.net':80
- 'pr####lypartial.net':80
- 'se####lstrike.net':80
- 'la####ttempt.net':80
- 'se####square.net':80
- 'la###square.net':80
- 'se####attempt.net':80
- 'ma####alstrike.net':80
- 'se####lpartial.net':80
- 'ma####alpartial.net':80
TCP:
Запросы HTTP GET:
- si####attempt.net/index.php?em##########################################
- mo####attempt.net/index.php?em##########################################
- si####square.net/index.php?em##########################################
- la###spread.net/index.php?em##########################################
- se####neighbor.net/index.php?em##########################################
- la####eighbor.net/index.php?em##########################################
- se####spread.net/index.php?em##########################################
- mo####square.net/index.php?em##########################################
- mo####inattempt.net/index.php?em##########################################
- po####leattempt.net/index.php?em##########################################
- mo####insquare.net/index.php?em##########################################
- mo####spread.net/index.php?em##########################################
- si####neighbor.net/index.php?em##########################################
- mo####neighbor.net/index.php?em##########################################
- si####spread.net/index.php?em##########################################
- ma####alnumber.net/index.php?em##########################################
- se####lposition.net/index.php?em##########################################
- ma#####lposition.net/index.php?em##########################################
- se####lnumber.net/index.php?em##########################################
- pr####lystrike.net/index.php?em##########################################
- sw####artial.net/index.php?em##########################################
- pr####lypartial.net/index.php?em##########################################
- se####lstrike.net/index.php?em##########################################
- la####ttempt.net/index.php?em##########################################
- se####square.net/index.php?em##########################################
- la###square.net/index.php?em##########################################
- se####attempt.net/index.php?em##########################################
- ma####alstrike.net/index.php?em##########################################
- se####lpartial.net/index.php?em##########################################
- ma####alpartial.net/index.php?em##########################################
UDP:
- DNS ASK mo####attempt.net
- DNS ASK si####square.net
- DNS ASK mo####square.net
- DNS ASK si####attempt.net
- DNS ASK la####eighbor.net
- DNS ASK se####spread.net
- DNS ASK la###spread.net
- DNS ASK si####neighbor.net
- DNS ASK po####leattempt.net
- DNS ASK mo####insquare.net
- DNS ASK po####lesquare.net
- DNS ASK mo####inattempt.net
- DNS ASK mo####neighbor.net
- DNS ASK si####spread.net
- DNS ASK mo####spread.net
- DNS ASK se####neighbor.net
- DNS ASK ma####alnumber.net
- DNS ASK se####lposition.net
- DNS ASK ma#####lposition.net
- DNS ASK se####lnumber.net
- DNS ASK pr####lystrike.net
- DNS ASK sw####artial.net
- DNS ASK pr####lypartial.net
- DNS ASK se####lstrike.net
- DNS ASK la####ttempt.net
- DNS ASK se####square.net
- DNS ASK la###square.net
- DNS ASK se####attempt.net
- DNS ASK ma####alstrike.net
- DNS ASK se####lpartial.net
- DNS ASK ma####alpartial.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
