Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'COM Launcher Office Profile Font Transaction WMI' = '%APPDATA%\srfjobuy\ljmiceltviq.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\srfjobuy\cxcrffzbdcyk.exe' "%APPDATA%\srfjobuy\ljmiceltviq.exe"
- '%APPDATA%\srfjobuy\ljmiceltviq.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\srfjobuy\ljmiceltviq.glve
- %APPDATA%\srfjobuy\cxcrffzbdcyk.exe
- %APPDATA%\srfjobuy\ljmiceltviq.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\srfjobuy\cxcrffzbdcyk.exe
- %APPDATA%\srfjobuy\ljmiceltviq.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'su####minute.net':80
- 'wi####minute.net':80
- 'wi####special.net':80
- 'wi####corner.net':80
- 'su####special.net':80
- 'ch###corner.net':80
- 'th####pecial.net':80
- 'th###corner.net':80
- 'su####flower.net':80
- 'wi####flower.net':80
- 'th####hspecial.net':80
- 'ef####special.net':80
- 'ef####corner.net':80
- 'fo####flower.net':80
- 'th####hcorner.net':80
- 'ef####flower.net':80
- 'su####corner.net':80
- 'th####hflower.net':80
- 'th####hminute.net':80
- 'ef####minute.net':80
- 'ch####pecial.net':80
- 'de####ycorner.net':80
- 'li####special.net':80
- 'li####corner.net':80
- 'be####flower.net':80
- 'ri####flower.net':80
- 'li####flower.net':80
- 'de####yflower.net':80
- 'de####yminute.net':80
- 'de####yspecial.net':80
- 'li####minute.net':80
- 'ch###flower.net':80
- 'be####corner.net':80
- 'th###flower.net':80
- 'th###minute.net':80
- 'ch###minute.net':80
- 'be####minute.net':80
- 'ri####minute.net':80
- 'ri####special.net':80
- 'ri####corner.net':80
- 'be####special.net':80
TCP:
Запросы HTTP GET:
- http://su####minute.net/index.php?em#####################################################
- http://wi####minute.net/index.php?em#####################################################
- http://wi####special.net/index.php?em#####################################################
- http://wi####corner.net/index.php?em#####################################################
- http://su####special.net/index.php?em#####################################################
- http://ch###corner.net/index.php?em#####################################################
- http://th####pecial.net/index.php?em#####################################################
- http://th###corner.net/index.php?em#####################################################
- http://su####flower.net/index.php?em#####################################################
- http://wi####flower.net/index.php?em#####################################################
- http://th####hspecial.net/index.php?em#####################################################
- http://ef####special.net/index.php?em#####################################################
- http://ef####corner.net/index.php?em#####################################################
- http://fo####flower.net/index.php?em#####################################################
- http://th####hcorner.net/index.php?em#####################################################
- http://ef####flower.net/index.php?em#####################################################
- http://su####corner.net/index.php?em#####################################################
- http://th####hflower.net/index.php?em#####################################################
- http://th####hminute.net/index.php?em#####################################################
- http://ef####minute.net/index.php?em#####################################################
- http://ch####pecial.net/index.php?em#####################################################
- http://de####ycorner.net/index.php?em#####################################################
- http://li####special.net/index.php?em#####################################################
- http://li####corner.net/index.php?em#####################################################
- http://be####flower.net/index.php?em#####################################################
- http://ri####flower.net/index.php?em#####################################################
- http://li####flower.net/index.php?em#####################################################
- http://de####yflower.net/index.php?em#####################################################
- http://de####yminute.net/index.php?em#####################################################
- http://de####yspecial.net/index.php?em#####################################################
- http://li####minute.net/index.php?em#####################################################
- http://ch###flower.net/index.php?em#####################################################
- http://be####corner.net/index.php?em#####################################################
- http://th###flower.net/index.php?em#####################################################
- http://th###minute.net/index.php?em#####################################################
- http://ch###minute.net/index.php?em#####################################################
- http://be####minute.net/index.php?em#####################################################
- http://ri####minute.net/index.php?em#####################################################
- http://ri####special.net/index.php?em#####################################################
- http://ri####corner.net/index.php?em#####################################################
- http://be####special.net/index.php?em#####################################################
UDP:
- DNS ASK su####minute.net
- DNS ASK wi####minute.net
- DNS ASK wi####special.net
- DNS ASK wi####corner.net
- DNS ASK su####special.net
- DNS ASK ch###corner.net
- DNS ASK th####pecial.net
- DNS ASK th###corner.net
- DNS ASK su####flower.net
- DNS ASK wi####flower.net
- DNS ASK su####corner.net
- DNS ASK ef####corner.net
- DNS ASK th####hspecial.net
- DNS ASK th####hcorner.net
- DNS ASK in####seflower.net
- DNS ASK fo####flower.net
- DNS ASK th####hflower.net
- DNS ASK ef####flower.net
- DNS ASK ef####minute.net
- DNS ASK ef####special.net
- DNS ASK th####hminute.net
- DNS ASK de####ycorner.net
- DNS ASK li####special.net
- DNS ASK li####corner.net
- DNS ASK be####flower.net
- DNS ASK ri####flower.net
- DNS ASK li####flower.net
- DNS ASK de####yflower.net
- DNS ASK de####yminute.net
- DNS ASK de####yspecial.net
- DNS ASK li####minute.net
- DNS ASK ri####minute.net
- DNS ASK th###flower.net
- DNS ASK ch###flower.net
- DNS ASK ch###minute.net
- DNS ASK ch####pecial.net
- DNS ASK th###minute.net
- DNS ASK ri####special.net
- DNS ASK be####minute.net
- DNS ASK be####special.net
- DNS ASK be####corner.net
- DNS ASK ri####corner.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
