Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'PnP-X WMI Link-Layer DLL Class Defender Link' = '%APPDATA%\aixunlcqkjvure\jhiaxnpt.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\aixunlcqkjvure\cigmzhpisl.exe' "%APPDATA%\aixunlcqkjvure\jhiaxnpt.exe"
- '%APPDATA%\aixunlcqkjvure\jhiaxnpt.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\aixunlcqkjvure\jhiaxnpt.gias
- %APPDATA%\aixunlcqkjvure\cigmzhpisl.exe
- %APPDATA%\aixunlcqkjvure\jhiaxnpt.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\aixunlcqkjvure\jhiaxnpt.exe
Сетевая активность:
Подключается к:
- 'mi####nature.net':80
- 'al###govern.net':80
- 'of###govern.net':80
- 'tw####needle.net':80
- 'mi####needle.net':80
- 'tw####nature.net':80
- 'of###needle.net':80
- 'al###nature.net':80
- 'of###nature.net':80
- 'al###enough.net':80
- 'of###enough.net':80
- 'al###needle.net':80
- 'ra####enough.net':80
- 'mo####gneedle.net':80
- 'ra####needle.net':80
- 'mo####ggovern.net':80
- 'ra####govern.net':80
- 'mo####genough.net':80
- 'mi####govern.net':80
- 'tw####enough.net':80
- 'mi####enough.net':80
- 'mo####gnature.net':80
- 'ra####nature.net':80
- 'tw####govern.net':80
- 'th###nature.net':80
- 'cl####omplete.net':80
- 'th####omplete.net':80
- 'pr####tneedle.net':80
- 'th###needle.net':80
- 'pr####tnature.net':80
- 'th###around.net':80
- 'cl####elcome.net':80
- 'th####elcome.net':80
- 'cl###proud.net':80
- 'th###proud.net':80
- 'cl###around.net':80
- 'ch###enough.net':80
- 'co####eneedle.net':80
- 'ch###needle.net':80
- 'co####egovern.net':80
- 'ch###govern.net':80
- 'co####eenough.net':80
- 'th###govern.net':80
- 'pr####tenough.net':80
- 'th###enough.net':80
- 'co####enature.net':80
- 'ch###nature.net':80
- 'pr####tgovern.net':80
TCP:
Запросы HTTP GET:
- http://mi####nature.net/index.php?em#########################################
- http://al###govern.net/index.php?em#########################################
- http://of###govern.net/index.php?em#########################################
- http://tw####needle.net/index.php?em#########################################
- http://mi####needle.net/index.php?em#########################################
- http://tw####nature.net/index.php?em#########################################
- http://of###needle.net/index.php?em#########################################
- http://al###nature.net/index.php?em#########################################
- http://of###nature.net/index.php?em#########################################
- http://al###enough.net/index.php?em#########################################
- http://of###enough.net/index.php?em#########################################
- http://al###needle.net/index.php?em#########################################
- http://ra####enough.net/index.php?em#########################################
- http://mo####gneedle.net/index.php?em#########################################
- http://ra####needle.net/index.php?em#########################################
- http://mo####ggovern.net/index.php?em#########################################
- http://ra####govern.net/index.php?em#########################################
- http://mo####genough.net/index.php?em#########################################
- http://mi####govern.net/index.php?em#########################################
- http://tw####enough.net/index.php?em#########################################
- http://mi####enough.net/index.php?em#########################################
- http://mo####gnature.net/index.php?em#########################################
- http://ra####nature.net/index.php?em#########################################
- http://tw####govern.net/index.php?em#########################################
- http://th###nature.net/index.php?em#########################################
- http://cl####omplete.net/index.php?em#########################################
- http://th####omplete.net/index.php?em#########################################
- http://pr####tneedle.net/index.php?em#########################################
- http://th###needle.net/index.php?em#########################################
- http://pr####tnature.net/index.php?em#########################################
- http://th###around.net/index.php?em#########################################
- http://cl####elcome.net/index.php?em#########################################
- http://th####elcome.net/index.php?em#########################################
- http://cl###proud.net/index.php?em#########################################
- http://th###proud.net/index.php?em#########################################
- http://cl###around.net/index.php?em#########################################
- http://ch###enough.net/index.php?em#########################################
- http://co####eneedle.net/index.php?em#########################################
- http://ch###needle.net/index.php?em#########################################
- http://co####egovern.net/index.php?em#########################################
- http://ch###govern.net/index.php?em#########################################
- http://co####eenough.net/index.php?em#########################################
- http://th###govern.net/index.php?em#########################################
- http://pr####tenough.net/index.php?em#########################################
- http://th###enough.net/index.php?em#########################################
- http://co####enature.net/index.php?em#########################################
- http://ch###nature.net/index.php?em#########################################
- http://pr####tgovern.net/index.php?em#########################################
UDP:
- DNS ASK mi####nature.net
- DNS ASK al###govern.net
- DNS ASK of###govern.net
- DNS ASK tw####needle.net
- DNS ASK mi####needle.net
- DNS ASK tw####nature.net
- DNS ASK of###needle.net
- DNS ASK al###nature.net
- DNS ASK of###nature.net
- DNS ASK al###enough.net
- DNS ASK of###enough.net
- DNS ASK al###needle.net
- DNS ASK ra####enough.net
- DNS ASK mo####gneedle.net
- DNS ASK ra####needle.net
- DNS ASK mo####ggovern.net
- DNS ASK ra####govern.net
- DNS ASK mo####genough.net
- DNS ASK mi####govern.net
- DNS ASK tw####enough.net
- DNS ASK mi####enough.net
- DNS ASK mo####gnature.net
- DNS ASK ra####nature.net
- DNS ASK tw####govern.net
- DNS ASK th###nature.net
- DNS ASK cl####omplete.net
- DNS ASK th####omplete.net
- DNS ASK pr####tneedle.net
- DNS ASK th###needle.net
- DNS ASK pr####tnature.net
- DNS ASK th###around.net
- DNS ASK cl####elcome.net
- DNS ASK th####elcome.net
- DNS ASK cl###proud.net
- DNS ASK th###proud.net
- DNS ASK cl###around.net
- DNS ASK ch###enough.net
- DNS ASK co####eneedle.net
- DNS ASK ch###needle.net
- DNS ASK co####egovern.net
- DNS ASK ch###govern.net
- DNS ASK co####eenough.net
- DNS ASK th###govern.net
- DNS ASK pr####tenough.net
- DNS ASK th###enough.net
- DNS ASK co####enature.net
- DNS ASK ch###nature.net
- DNS ASK pr####tgovern.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
