Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Certificate NetBIOS Profile NGEN' = '%APPDATA%\ptgwrdgzuq\wkhrkvwghnfx.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ptgwrdgzuq\cmrthdeewepl.exe' "%APPDATA%\ptgwrdgzuq\wkhrkvwghnfx.exe"
- '%APPDATA%\ptgwrdgzuq\wkhrkvwghnfx.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ptgwrdgzuq\wkhrkvwghnfx.gwspk
- %APPDATA%\ptgwrdgzuq\cmrthdeewepl.exe
- %APPDATA%\ptgwrdgzuq\wkhrkvwghnfx.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ptgwrdgzuq\cmrthdeewepl.exe
- %APPDATA%\ptgwrdgzuq\wkhrkvwghnfx.exe
Сетевая активность:
Подключается к:
- 'se###nriver.net':80
- 'ag####tnearly.net':80
- 'qu###river.net':80
- 'qu####ervice.net':80
- 'se####service.net':80
- 'ag####tshake.net':80
- 'do###shake.net':80
- 'do###happen.net':80
- 'do###nearly.net':80
- 'ag####thappen.net':80
- 'se####suppose.net':80
- 'fl####ervice.net':80
- 'br####ervice.net':80
- 'br####uppose.net':80
- 'br###mister.net':80
- 'fl####uppose.net':80
- 'se####mister.net':80
- 'qu####uppose.net':80
- 'qu###mister.net':80
- 'fl###river.net':80
- 'br###river.net':80
- 'la###shake.net':80
- 'ca####nshake.net':80
- 'ca####nhappen.net':80
- 'ca####nnearly.net':80
- 'la###happen.net':80
- 'el####icnearly.net':80
- 're####happen.net':80
- 're####nearly.net':80
- 'la###share.net':80
- 'ca####nshare.net':80
- 'la###nearly.net':80
- 'de####nearly.net':80
- 'ni###happen.net':80
- 'ni###nearly.net':80
- 'ag####tshare.net':80
- 'do###share.net':80
- 'ni###share.net':80
- 'de###eshare.net':80
- 'de###eshake.net':80
- 'de####happen.net':80
- 'ni###shake.net':80
- 'fl###mister.net':80
- 'la####ervice.net':80
- 'ca####nservice.net':80
- 'ca####nsuppose.net':80
- 'ca####nmister.net':80
- 'la####uppose.net':80
- 'el####icmister.net':80
- 're####suppose.net':80
- 're####mister.net':80
- 'la###river.net':80
- 'ca####nriver.net':80
- 'la###mister.net':80
- 'de####mister.net':80
- 'ni####uppose.net':80
- 'ni###mister.net':80
- 'ag####triver.net':80
- 'do###river.net':80
- 'ni###river.net':80
- 'de###eriver.net':80
- 'de####service.net':80
- 'de####suppose.net':80
- 'ni####ervice.net':80
- 'ga####mister.net':80
- 'be####suppose.net':80
- 'be####mister.net':80
- 'st###triver.net':80
- 'tr###river.net':80
- 'be###rriver.net':80
- 'ga###rriver.net':80
- 'ga####service.net':80
- 'ga####suppose.net':80
- 'be####service.net':80
- 'tr####ervice.net':80
- 're###driver.net':80
- 'el####icriver.net':80
- 'el####icservice.net':80
- 'el####icsuppose.net':80
- 're####service.net':80
- 'tr####uppose.net':80
- 'st####service.net':80
- 'st####suppose.net':80
- 'st####mister.net':80
- 'tr###mister.net':80
TCP:
Запросы HTTP GET:
- http://se###nriver.net/index.php?em##########################################
- http://ag####tnearly.net/index.php?em##########################################
- http://qu###river.net/index.php?em##########################################
- http://qu####ervice.net/index.php?em##########################################
- http://se####service.net/index.php?em##########################################
- http://ag####tshake.net/index.php?em##########################################
- http://do###shake.net/index.php?em##########################################
- http://do###happen.net/index.php?em##########################################
- http://do###nearly.net/index.php?em##########################################
- http://ag####thappen.net/index.php?em##########################################
- http://se####suppose.net/index.php?em##########################################
- http://fl####ervice.net/index.php?em##########################################
- http://br####ervice.net/index.php?em##########################################
- http://br####uppose.net/index.php?em##########################################
- http://br###mister.net/index.php?em##########################################
- http://fl####uppose.net/index.php?em##########################################
- http://se####mister.net/index.php?em##########################################
- http://qu####uppose.net/index.php?em##########################################
- http://qu###mister.net/index.php?em##########################################
- http://fl###river.net/index.php?em##########################################
- http://br###river.net/index.php?em##########################################
- http://la###shake.net/index.php?em##########################################
- http://ca####nshake.net/index.php?em##########################################
- http://ca####nhappen.net/index.php?em##########################################
- http://ca####nnearly.net/index.php?em##########################################
- http://la###happen.net/index.php?em##########################################
- http://el####icnearly.net/index.php?em##########################################
- http://re####happen.net/index.php?em##########################################
- http://re####nearly.net/index.php?em##########################################
- http://la###share.net/index.php?em##########################################
- http://ca####nshare.net/index.php?em##########################################
- http://la###nearly.net/index.php?em##########################################
- http://de####nearly.net/index.php?em##########################################
- http://ni###happen.net/index.php?em##########################################
- http://ni###nearly.net/index.php?em##########################################
- http://ag####tshare.net/index.php?em##########################################
- http://do###share.net/index.php?em##########################################
- http://ni###share.net/index.php?em##########################################
- http://de###eshare.net/index.php?em##########################################
- http://de###eshake.net/index.php?em##########################################
- http://de####happen.net/index.php?em##########################################
- http://ni###shake.net/index.php?em##########################################
- http://fl###mister.net/index.php?em##########################################
- http://la####ervice.net/index.php?em##########################################
- http://ca####nservice.net/index.php?em##########################################
- http://ca####nsuppose.net/index.php?em##########################################
- http://ca####nmister.net/index.php?em##########################################
- http://la####uppose.net/index.php?em##########################################
- http://el####icmister.net/index.php?em##########################################
- http://re####suppose.net/index.php?em##########################################
- http://re####mister.net/index.php?em##########################################
- http://la###river.net/index.php?em##########################################
- http://ca####nriver.net/index.php?em##########################################
- http://la###mister.net/index.php?em##########################################
- http://de####mister.net/index.php?em##########################################
- http://ni####uppose.net/index.php?em##########################################
- http://ni###mister.net/index.php?em##########################################
- http://ag####triver.net/index.php?em##########################################
- http://do###river.net/index.php?em##########################################
- http://ni###river.net/index.php?em##########################################
- http://de###eriver.net/index.php?em##########################################
- http://de####service.net/index.php?em##########################################
- http://de####suppose.net/index.php?em##########################################
- http://ni####ervice.net/index.php?em##########################################
- http://ga####mister.net/index.php?em##########################################
- http://be####suppose.net/index.php?em##########################################
- http://be####mister.net/index.php?em##########################################
- http://st###triver.net/index.php?em##########################################
- http://tr###river.net/index.php?em##########################################
- http://be###rriver.net/index.php?em##########################################
- http://ga###rriver.net/index.php?em##########################################
- http://ga####service.net/index.php?em##########################################
- http://ga####suppose.net/index.php?em##########################################
- http://be####service.net/index.php?em##########################################
- http://tr####ervice.net/index.php?em##########################################
- http://re###driver.net/index.php?em##########################################
- http://el####icriver.net/index.php?em##########################################
- http://el####icservice.net/index.php?em##########################################
- http://el####icsuppose.net/index.php?em##########################################
- http://re####service.net/index.php?em##########################################
- http://tr####uppose.net/index.php?em##########################################
- http://st####service.net/index.php?em##########################################
- http://st####suppose.net/index.php?em##########################################
- http://st####mister.net/index.php?em##########################################
- http://tr###mister.net/index.php?em##########################################
UDP:
- DNS ASK se###nriver.net
- DNS ASK ag####tnearly.net
- DNS ASK qu###river.net
- DNS ASK qu####ervice.net
- DNS ASK se####service.net
- DNS ASK ag####tshake.net
- DNS ASK do###shake.net
- DNS ASK do###happen.net
- DNS ASK do###nearly.net
- DNS ASK ag####thappen.net
- DNS ASK se####suppose.net
- DNS ASK fl####ervice.net
- DNS ASK br####ervice.net
- DNS ASK br####uppose.net
- DNS ASK br###mister.net
- DNS ASK fl####uppose.net
- DNS ASK se####mister.net
- DNS ASK qu####uppose.net
- DNS ASK qu###mister.net
- DNS ASK fl###river.net
- DNS ASK br###river.net
- DNS ASK la###shake.net
- DNS ASK ca####nshake.net
- DNS ASK ca####nhappen.net
- DNS ASK ca####nnearly.net
- DNS ASK la###happen.net
- DNS ASK el####icnearly.net
- DNS ASK re####happen.net
- DNS ASK re####nearly.net
- DNS ASK la###share.net
- DNS ASK ca####nshare.net
- DNS ASK la###nearly.net
- DNS ASK de####nearly.net
- DNS ASK ni###happen.net
- DNS ASK ni###nearly.net
- DNS ASK ag####tshare.net
- DNS ASK do###share.net
- DNS ASK ni###share.net
- DNS ASK de###eshare.net
- DNS ASK de###eshake.net
- DNS ASK de####happen.net
- DNS ASK ni###shake.net
- DNS ASK fl###mister.net
- DNS ASK la####ervice.net
- DNS ASK ca####nservice.net
- DNS ASK ca####nsuppose.net
- DNS ASK ca####nmister.net
- DNS ASK la####uppose.net
- DNS ASK el####icmister.net
- DNS ASK re####suppose.net
- DNS ASK re####mister.net
- DNS ASK la###river.net
- DNS ASK ca####nriver.net
- DNS ASK la###mister.net
- DNS ASK de####mister.net
- DNS ASK ni####uppose.net
- DNS ASK ni###mister.net
- DNS ASK ag####triver.net
- DNS ASK do###river.net
- DNS ASK ni###river.net
- DNS ASK de###eriver.net
- DNS ASK de####service.net
- DNS ASK de####suppose.net
- DNS ASK ni####ervice.net
- DNS ASK ga####mister.net
- DNS ASK be####suppose.net
- DNS ASK be####mister.net
- DNS ASK st###triver.net
- DNS ASK tr###river.net
- DNS ASK be###rriver.net
- DNS ASK ga###rriver.net
- DNS ASK ga####service.net
- DNS ASK ga####suppose.net
- DNS ASK be####service.net
- DNS ASK tr####ervice.net
- DNS ASK re###driver.net
- DNS ASK el####icriver.net
- DNS ASK el####icservice.net
- DNS ASK el####icsuppose.net
- DNS ASK re####service.net
- DNS ASK tr####uppose.net
- DNS ASK st####service.net
- DNS ASK st####suppose.net
- DNS ASK st####mister.net
- DNS ASK tr###mister.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
