Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Isolation Controls Link Card' = 'C:\jnimmhjmck\ctyeupme.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Credential Function Transaction Volume SSDP] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\jnimmhjmck\vygkwchwvy.exe' "c:\jnimmhjmck\ctyeupme.exe"
- 'C:\jnimmhjmck\ctyeupme.exe'
- 'C:\jnimmhjmck\zynp03lnjjjdja7gbs.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\jnimmhjmck\ctyeupme.exe
- C:\jnimmhjmck\vygkwchwvy.exe
- C:\jnimmhjmck\wfqrzlx2d
- %WINDIR%\jnimmhjmck\kvcsneqhnk
- C:\jnimmhjmck\kvcsneqhnk
- C:\jnimmhjmck\zynp03lnjjjdja7gbs.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\jnimmhjmck\vygkwchwvy.exe
- C:\jnimmhjmck\ctyeupme.exe
Удаляет следующие файлы:
- C:\jnimmhjmck\zynp03lnjjjdja7gbs.exe
- %WINDIR%\jnimmhjmck\kvcsneqhnk
Сетевая активность:
Подключается к:
- 'be####discover.net':80
- 'ch####ontinue.net':80
- 'th####ontinue.net':80
- 'ri####wonder.net':80
- 'be####wonder.net':80
- 'ri####discover.net':80
- 'ch###master.net':80
- 'ch####iscover.net':80
- 'th####iscover.net':80
- 'wi####continue.net':80
- 'th###master.net':80
- 'ch###wonder.net':80
- 'th###wonder.net':80
- 'de####ymaster.net':80
- 'li####master.net':80
- 'de####ywonder.net':80
- 'hu####ddiscover.net':80
- 'de####ycontinue.net':80
- 'li####continue.net':80
- 'li####wonder.net':80
- 'be####continue.net':80
- 'ri####master.net':80
- 'be####master.net':80
- 'de####ydiscover.net':80
- 'li####discover.net':80
- 'ri####continue.net':80
TCP:
Запросы HTTP GET:
- http://be####discover.net/index.php?me########
- http://ch####ontinue.net/index.php?me########
- http://th####ontinue.net/index.php?me########
- http://ri####wonder.net/index.php?me########
- http://be####wonder.net/index.php?me########
- http://ri####discover.net/index.php?me########
- http://ch###master.net/index.php?me########
- http://ch####iscover.net/index.php?me########
- http://th####iscover.net/index.php?me########
- http://wi####continue.net/index.php?me########
- http://th###master.net/index.php?me########
- http://ch###wonder.net/index.php?me########
- http://th###wonder.net/index.php?me########
- http://de####ymaster.net/index.php?me########
- http://li####master.net/index.php?me########
- http://de####ywonder.net/index.php?me########
- http://hu####ddiscover.net/index.php?me########
- http://de####ycontinue.net/index.php?me########
- http://li####continue.net/index.php?me########
- http://li####wonder.net/index.php?me########
- http://be####continue.net/index.php?me########
- http://ri####master.net/index.php?me########
- http://be####master.net/index.php?me########
- http://de####ydiscover.net/index.php?me########
- http://li####discover.net/index.php?me########
- http://ri####continue.net/index.php?me########
UDP:
- DNS ASK ch####ontinue.net
- DNS ASK th####ontinue.net
- DNS ASK ch###master.net
- DNS ASK be####wonder.net
- DNS ASK ri####discover.net
- DNS ASK be####discover.net
- DNS ASK th###master.net
- DNS ASK th####iscover.net
- DNS ASK wi####continue.net
- DNS ASK su####continue.net
- DNS ASK ch###wonder.net
- DNS ASK th###wonder.net
- DNS ASK ch####iscover.net
- DNS ASK ri####wonder.net
- DNS ASK de####ymaster.net
- DNS ASK li####master.net
- DNS ASK de####ywonder.net
- DNS ASK hu####ddiscover.net
- DNS ASK de####ycontinue.net
- DNS ASK li####continue.net
- DNS ASK li####wonder.net
- DNS ASK be####continue.net
- DNS ASK ri####master.net
- DNS ASK be####master.net
- DNS ASK de####ydiscover.net
- DNS ASK li####discover.net
- DNS ASK ri####continue.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
