Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Class Removal Quality Server CNG Tracking' = '%APPDATA%\iihrucqv\mwoashrljjp.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\iihrucqv\sjiwlek.exe' "%APPDATA%\iihrucqv\mwoashrljjp.exe"
- '%APPDATA%\iihrucqv\mwoashrljjp.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\iihrucqv\mwoashrljjp.w2r
- %APPDATA%\iihrucqv\sjiwlek.exe
- %APPDATA%\iihrucqv\mwoashrljjp.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\iihrucqv\sjiwlek.exe
- %APPDATA%\iihrucqv\mwoashrljjp.exe
Сетевая активность:
Подключается к:
- 'gl###bridge.net':80
- 'an####bridge.net':80
- 'gl###except.net':80
- 'an###rwhose.net':80
- 'gl####icycle.net':80
- 'an####bicycle.net':80
- 'an####except.net':80
- 'de####bicycle.net':80
- 'fo####dbridge.net':80
- 'de####bridge.net':80
- 'fo####dwhose.net':80
- 'de###ewhose.net':80
- 'fo####dbicycle.net':80
- 'pl####ntexcept.net':80
- 'he###whose.net':80
- 'di####ultwhose.net':80
- 'ne####arybridge.net':80
- 'pl####ntbridge.net':80
- 'ne####aryexcept.net':80
- 'he####icycle.net':80
- 'he###except.net':80
- 'di####ultexcept.net':80
- 'gl###whose.net':80
- 'di#####ltbicycle.net':80
- 'he###bridge.net':80
- 'di####ultbridge.net':80
- 'ge####character.net':80
- 'he####haracter.net':80
- 'he###nenter.net':80
- 'he###board.net':80
- 'ge####ladder.net':80
- 'he###ladder.net':80
- 'le###renter.net':80
- 'le####ladder.net':80
- 'he####character.net':80
- 'le####character.net':80
- 'he###nboard.net':80
- 'le###rboard.net':80
- 'he####ladder.net':80
- 'va####senter.net':80
- 're###nboard.net':80
- 'va####sboard.net':80
- 'fo####dexcept.net':80
- 'de####except.net':80
- 're###nenter.net':80
- 're####ladder.net':80
- 'ge###eenter.net':80
- 'he###enter.net':80
- 'ge###eboard.net':80
- 'va####sladder.net':80
- 're####character.net':80
- 'va#####character.net':80
TCP:
Запросы HTTP GET:
- http://gl###bridge.net/index.php?em#####################################
- http://an####bridge.net/index.php?em#####################################
- http://gl###except.net/index.php?em#####################################
- http://an###rwhose.net/index.php?em#####################################
- http://gl####icycle.net/index.php?em#####################################
- http://an####bicycle.net/index.php?em#####################################
- http://an####except.net/index.php?em#####################################
- http://de####bicycle.net/index.php?em#####################################
- http://fo####dbridge.net/index.php?em#####################################
- http://de####bridge.net/index.php?em#####################################
- http://fo####dwhose.net/index.php?em#####################################
- http://de###ewhose.net/index.php?em#####################################
- http://fo####dbicycle.net/index.php?em#####################################
- http://pl####ntexcept.net/index.php?em#####################################
- http://he###whose.net/index.php?em#####################################
- http://di####ultwhose.net/index.php?em#####################################
- http://ne####arybridge.net/index.php?em#####################################
- http://pl####ntbridge.net/index.php?em#####################################
- http://ne####aryexcept.net/index.php?em#####################################
- http://he####icycle.net/index.php?em#####################################
- http://he###except.net/index.php?em#####################################
- http://di####ultexcept.net/index.php?em#####################################
- http://gl###whose.net/index.php?em#####################################
- http://di#####ltbicycle.net/index.php?em#####################################
- http://he###bridge.net/index.php?em#####################################
- http://di####ultbridge.net/index.php?em#####################################
- http://ge####character.net/index.php?em#####################################
- http://he####haracter.net/index.php?em#####################################
- http://he###nenter.net/index.php?em#####################################
- http://he###board.net/index.php?em#####################################
- http://ge####ladder.net/index.php?em#####################################
- http://he###ladder.net/index.php?em#####################################
- http://le###renter.net/index.php?em#####################################
- http://le####ladder.net/index.php?em#####################################
- http://he####character.net/index.php?em#####################################
- http://le####character.net/index.php?em#####################################
- http://he###nboard.net/index.php?em#####################################
- http://le###rboard.net/index.php?em#####################################
- http://he####ladder.net/index.php?em#####################################
- http://va####senter.net/index.php?em#####################################
- http://re###nboard.net/index.php?em#####################################
- http://va####sboard.net/index.php?em#####################################
- http://fo####dexcept.net/index.php?em#####################################
- http://de####except.net/index.php?em#####################################
- http://re###nenter.net/index.php?em#####################################
- http://re####ladder.net/index.php?em#####################################
- http://ge###eenter.net/index.php?em#####################################
- http://he###enter.net/index.php?em#####################################
- http://ge###eboard.net/index.php?em#####################################
- http://va####sladder.net/index.php?em#####################################
- http://re####character.net/index.php?em#####################################
- http://va#####character.net/index.php?em#####################################
UDP:
- DNS ASK an####bicycle.net
- DNS ASK gl###bridge.net
- DNS ASK an####bridge.net
- DNS ASK gl###whose.net
- DNS ASK an###rwhose.net
- DNS ASK gl####icycle.net
- DNS ASK gl###except.net
- DNS ASK fo####dbicycle.net
- DNS ASK de####bicycle.net
- DNS ASK fo####dbridge.net
- DNS ASK an####except.net
- DNS ASK fo####dwhose.net
- DNS ASK de###ewhose.net
- DNS ASK ne####aryexcept.net
- DNS ASK pl####ntexcept.net
- DNS ASK he###whose.net
- DNS ASK pl####ntbicycle.net
- DNS ASK ne####arybridge.net
- DNS ASK pl####ntbridge.net
- DNS ASK di####ultwhose.net
- DNS ASK di####ultbridge.net
- DNS ASK he###except.net
- DNS ASK di####ultexcept.net
- DNS ASK he####icycle.net
- DNS ASK di#####ltbicycle.net
- DNS ASK he###bridge.net
- DNS ASK de####bridge.net
- DNS ASK ge####character.net
- DNS ASK he####haracter.net
- DNS ASK he###nenter.net
- DNS ASK he###board.net
- DNS ASK ge####ladder.net
- DNS ASK he###ladder.net
- DNS ASK le###renter.net
- DNS ASK le####ladder.net
- DNS ASK he####character.net
- DNS ASK le####character.net
- DNS ASK he###nboard.net
- DNS ASK le###rboard.net
- DNS ASK he####ladder.net
- DNS ASK va####senter.net
- DNS ASK re###nboard.net
- DNS ASK va####sboard.net
- DNS ASK fo####dexcept.net
- DNS ASK de####except.net
- DNS ASK re###nenter.net
- DNS ASK re####ladder.net
- DNS ASK ge###eenter.net
- DNS ASK he###enter.net
- DNS ASK ge###eboard.net
- DNS ASK va####sladder.net
- DNS ASK re####character.net
- DNS ASK va#####character.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
