Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Connections Reports Hardware Copy' = '%APPDATA%\xtqpuyrfrl\tmljyrveocd.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\xtqpuyrfrl\ocrtzvgtx.exe' "%APPDATA%\xtqpuyrfrl\tmljyrveocd.exe"
- '%APPDATA%\xtqpuyrfrl\tmljyrveocd.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\xtqpuyrfrl\tmljyrveocd.iolc2
- %APPDATA%\xtqpuyrfrl\ocrtzvgtx.exe
- %APPDATA%\xtqpuyrfrl\tmljyrveocd.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\xtqpuyrfrl\tmljyrveocd.exe
Сетевая активность:
Подключается к:
- 're###nguard.net':80
- 'va####sfence.net':80
- 'va####sguard.net':80
- 'va####sstraight.net':80
- 're####straight.net':80
- 'jo####yspent.net':80
- 'hu####dspent.net':80
- 'hu####dmatter.net':80
- 're###nfence.net':80
- 'jo####ymatter.net':80
- 're####airplane.net':80
- 'he####traight.net':80
- 'ge####straight.net':80
- 'ge####airplane.net':80
- 'he###nfence.net':80
- 'he####irplane.net':80
- 'ge###efence.net':80
- 'va####sairplane.net':80
- 'he###fence.net':80
- 'he###guard.net':80
- 'ge###eguard.net':80
TCP:
Запросы HTTP GET:
- http://re###nguard.net/index.php?em##################################################
- http://va####sfence.net/index.php?em##################################################
- http://va####sguard.net/index.php?em##################################################
- http://va####sstraight.net/index.php?em##################################################
- http://re####straight.net/index.php?em##################################################
- http://jo####yspent.net/index.php?em##################################################
- http://hu####dspent.net/index.php?em##################################################
- http://hu####dmatter.net/index.php?em##################################################
- http://re###nfence.net/index.php?em##################################################
- http://jo####ymatter.net/index.php?em##################################################
- http://re####airplane.net/index.php?em##################################################
- http://he####traight.net/index.php?em##################################################
- http://ge####straight.net/index.php?em##################################################
- http://ge####airplane.net/index.php?em##################################################
- http://he###nfence.net/index.php?em##################################################
- http://he####irplane.net/index.php?em##################################################
- http://ge###efence.net/index.php?em##################################################
- http://va####sairplane.net/index.php?em##################################################
- http://he###fence.net/index.php?em##################################################
- http://he###guard.net/index.php?em##################################################
- http://ge###eguard.net/index.php?em##################################################
UDP:
- DNS ASK re###nguard.net
- DNS ASK va####sfence.net
- DNS ASK va####sguard.net
- DNS ASK va####sstraight.net
- DNS ASK re####straight.net
- DNS ASK re###nfence.net
- DNS ASK hu####dspent.net
- DNS ASK jo####ytogether.net
- DNS ASK jo####yspent.net
- DNS ASK jo####ymatter.net
- DNS ASK hu####dmatter.net
- DNS ASK he####traight.net
- DNS ASK ge####straight.net
- DNS ASK ge####airplane.net
- DNS ASK he###nfence.net
- DNS ASK he####irplane.net
- DNS ASK he###guard.net
- DNS ASK va####sairplane.net
- DNS ASK re####airplane.net
- DNS ASK ge###efence.net
- DNS ASK ge###eguard.net
- DNS ASK he###fence.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
