Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Registry Office Software Shell Authentication' = '%APPDATA%\bfixtamoylmxy\xyxzntfwcpd.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\bfixtamoylmxy\zzpqxgpcnz.exe' "%APPDATA%\bfixtamoylmxy\xyxzntfwcpd.exe"
- '%APPDATA%\bfixtamoylmxy\xyxzntfwcpd.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\bfixtamoylmxy\xyxzntfwcpd.tli
- %APPDATA%\bfixtamoylmxy\zzpqxgpcnz.exe
- %APPDATA%\bfixtamoylmxy\xyxzntfwcpd.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\bfixtamoylmxy\xyxzntfwcpd.exe
Сетевая активность:
Подключается к:
- 'be###rvalue.net':80
- 'ga####orderly.net':80
- 'ga###rvalue.net':80
- 'br###almost.net':80
- 'fl###almost.net':80
- 'be####orderly.net':80
- 'be####almost.net':80
- 'tr###value.net':80
- 'ga####almost.net':80
- 'ga####reason.net':80
- 'be####reason.net':80
- 'fl###reason.net':80
- 'qu###reason.net':80
- 'se####almost.net':80
- 'se####reason.net':80
- 'se####orderly.net':80
- 'qu####rderly.net':80
- 'qu###almost.net':80
- 'fl####rderly.net':80
- 'br###reason.net':80
- 'br####rderly.net':80
- 'br###value.net':80
- 'fl###value.net':80
- 'st###tvalue.net':80
- 'la###value.net':80
- 'ca####norderly.net':80
- 'ca####nvalue.net':80
- 'el####icalmost.net':80
- 're####almost.net':80
- 'la####rderly.net':80
- 'la###almost.net':80
- 'de###evalue.net':80
- 'ca####nalmost.net':80
- 'ca####nreason.net':80
- 'la###reason.net':80
- 're####reason.net':80
- 'st####reason.net':80
- 'tr###almost.net':80
- 'tr###reason.net':80
- 'tr####rderly.net':80
- 'st####orderly.net':80
- 'st####almost.net':80
- 're####orderly.net':80
- 'el####icreason.net':80
- 'el####icorderly.net':80
- 'el####icvalue.net':80
- 're###dvalue.net':80
TCP:
Запросы HTTP GET:
- http://be###rvalue.net/index.php?em####################################
- http://ga####orderly.net/index.php?em####################################
- http://ga###rvalue.net/index.php?em####################################
- http://br###almost.net/index.php?em####################################
- http://fl###almost.net/index.php?em####################################
- http://be####orderly.net/index.php?em####################################
- http://be####almost.net/index.php?em####################################
- http://tr###value.net/index.php?em####################################
- http://ga####almost.net/index.php?em####################################
- http://ga####reason.net/index.php?em####################################
- http://be####reason.net/index.php?em####################################
- http://fl###reason.net/index.php?em####################################
- http://qu###reason.net/index.php?em####################################
- http://se####almost.net/index.php?em####################################
- http://se####reason.net/index.php?em####################################
- http://se####orderly.net/index.php?em####################################
- http://qu####rderly.net/index.php?em####################################
- http://qu###almost.net/index.php?em####################################
- http://fl####rderly.net/index.php?em####################################
- http://br###reason.net/index.php?em####################################
- http://br####rderly.net/index.php?em####################################
- http://br###value.net/index.php?em####################################
- http://fl###value.net/index.php?em####################################
- http://st###tvalue.net/index.php?em####################################
- http://la###value.net/index.php?em####################################
- http://ca####norderly.net/index.php?em####################################
- http://ca####nvalue.net/index.php?em####################################
- http://el####icalmost.net/index.php?em####################################
- http://re####almost.net/index.php?em####################################
- http://la####rderly.net/index.php?em####################################
- http://la###almost.net/index.php?em####################################
- http://de###evalue.net/index.php?em####################################
- http://ca####nalmost.net/index.php?em####################################
- http://ca####nreason.net/index.php?em####################################
- http://la###reason.net/index.php?em####################################
- http://re####reason.net/index.php?em####################################
- http://st####reason.net/index.php?em####################################
- http://tr###almost.net/index.php?em####################################
- http://tr###reason.net/index.php?em####################################
- http://tr####rderly.net/index.php?em####################################
- http://st####orderly.net/index.php?em####################################
- http://st####almost.net/index.php?em####################################
- http://re####orderly.net/index.php?em####################################
- http://el####icreason.net/index.php?em####################################
- http://el####icorderly.net/index.php?em####################################
- http://el####icvalue.net/index.php?em####################################
- http://re###dvalue.net/index.php?em####################################
UDP:
- DNS ASK ga###rvalue.net
- DNS ASK be###rvalue.net
- DNS ASK ga####orderly.net
- DNS ASK fl###reason.net
- DNS ASK br###almost.net
- DNS ASK fl###almost.net
- DNS ASK ga####almost.net
- DNS ASK be####almost.net
- DNS ASK tr###value.net
- DNS ASK be####orderly.net
- DNS ASK ga####reason.net
- DNS ASK be####reason.net
- DNS ASK se####reason.net
- DNS ASK qu###reason.net
- DNS ASK se####almost.net
- DNS ASK qu###value.net
- DNS ASK se####orderly.net
- DNS ASK qu####rderly.net
- DNS ASK br####rderly.net
- DNS ASK fl####rderly.net
- DNS ASK br###reason.net
- DNS ASK qu###almost.net
- DNS ASK br###value.net
- DNS ASK fl###value.net
- DNS ASK ca####nvalue.net
- DNS ASK la###value.net
- DNS ASK ca####norderly.net
- DNS ASK re####reason.net
- DNS ASK el####icalmost.net
- DNS ASK re####almost.net
- DNS ASK ca####nalmost.net
- DNS ASK la###almost.net
- DNS ASK de###evalue.net
- DNS ASK la####rderly.net
- DNS ASK ca####nreason.net
- DNS ASK la###reason.net
- DNS ASK tr###reason.net
- DNS ASK st####reason.net
- DNS ASK tr###almost.net
- DNS ASK st###tvalue.net
- DNS ASK tr####rderly.net
- DNS ASK st####orderly.net
- DNS ASK el####icorderly.net
- DNS ASK re####orderly.net
- DNS ASK el####icreason.net
- DNS ASK st####almost.net
- DNS ASK el####icvalue.net
- DNS ASK re###dvalue.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
