Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'KtmRm Distributed Initiator Volume Computer' = 'C:\kzyvoafgapfin\yygcfyjn.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\AutoConfig Extensible Procedure] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\kzyvoafgapfin\gerwtatqs.exe' "c:\kzyvoafgapfin\yygcfyjn.exe"
- 'C:\kzyvoafgapfin\yygcfyjn.exe'
- 'C:\kzyvoafgapfin\qgs2nn5lsahczh76rjs.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\kzyvoafgapfin\yygcfyjn.exe
- C:\kzyvoafgapfin\gerwtatqs.exe
- C:\kzyvoafgapfin\wdcg3mdx
- %WINDIR%\kzyvoafgapfin\jewroaf
- C:\kzyvoafgapfin\jewroaf
- C:\kzyvoafgapfin\qgs2nn5lsahczh76rjs.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\kzyvoafgapfin\gerwtatqs.exe
- C:\kzyvoafgapfin\yygcfyjn.exe
Удаляет следующие файлы:
- C:\kzyvoafgapfin\qgs2nn5lsahczh76rjs.exe
- %WINDIR%\kzyvoafgapfin\jewroaf
Сетевая активность:
Подключается к:
- 'th####nderstood.net':80
- 'pr#####understood.net':80
- 'ch###chance.net':80
- 'pr####ttwenty.net':80
- 'th####eeting.net':80
- 'pr####tmeeting.net':80
- 'th###twenty.net':80
- 'co####etwenty.net':80
- 'ch####nderstood.net':80
- 'co#####understood.net':80
- 'ch###twenty.net':80
- 'co####echance.net':80
- 'ch####eeting.net':80
- 'co####emeeting.net':80
- 'th###almost.net':80
- 'cl###almost.net':80
- 'th###reason.net':80
- 'we####rvalue.net':80
- 'am####reason.net':80
- 'we####rreason.net':80
- 'am###tvalue.net':80
- 'cl###value.net':80
- 'th###chance.net':80
- 'pr####tchance.net':80
- 'th###value.net':80
- 'cl###reason.net':80
- 'th####rderly.net':80
- 'cl####rderly.net':80
TCP:
Запросы HTTP GET:
- http://th####nderstood.net/index.php?me########
- http://pr#####understood.net/index.php?me########
- http://ch###chance.net/index.php?me########
- http://pr####ttwenty.net/index.php?me########
- http://th####eeting.net/index.php?me########
- http://pr####tmeeting.net/index.php?me########
- http://th###twenty.net/index.php?me########
- http://co####etwenty.net/index.php?me########
- http://ch####nderstood.net/index.php?me########
- http://co#####understood.net/index.php?me########
- http://ch###twenty.net/index.php?me########
- http://co####echance.net/index.php?me########
- http://ch####eeting.net/index.php?me########
- http://co####emeeting.net/index.php?me########
- http://th###almost.net/index.php?me########
- http://cl###almost.net/index.php?me########
- http://th###reason.net/index.php?me########
- http://we####rvalue.net/index.php?me########
- http://am####reason.net/index.php?me########
- http://we####rreason.net/index.php?me########
- http://am###tvalue.net/index.php?me########
- http://cl###value.net/index.php?me########
- http://th###chance.net/index.php?me########
- http://pr####tchance.net/index.php?me########
- http://th###value.net/index.php?me########
- http://cl###reason.net/index.php?me########
- http://th####rderly.net/index.php?me########
- http://cl####rderly.net/index.php?me########
UDP:
- DNS ASK pr####ttwenty.net
- DNS ASK th####nderstood.net
- DNS ASK pr#####understood.net
- DNS ASK th###twenty.net
- DNS ASK pr####tchance.net
- DNS ASK th####eeting.net
- DNS ASK pr####tmeeting.net
- DNS ASK ch###chance.net
- DNS ASK co####etwenty.net
- DNS ASK ch####nderstood.net
- DNS ASK co#####understood.net
- DNS ASK ch###twenty.net
- DNS ASK co####echance.net
- DNS ASK ch####eeting.net
- DNS ASK co####emeeting.net
- DNS ASK am###tvalue.net
- DNS ASK we####rvalue.net
- DNS ASK th###almost.net
- DNS ASK we####rorderly.net
- DNS ASK am####reason.net
- DNS ASK we####rreason.net
- DNS ASK am####orderly.net
- DNS ASK cl###almost.net
- DNS ASK th###value.net
- DNS ASK cl###value.net
- DNS ASK th###chance.net
- DNS ASK cl####rderly.net
- DNS ASK th###reason.net
- DNS ASK cl###reason.net
- DNS ASK th####rderly.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
