Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Auto iSCSI Log Key Reports CardSpace' = '%APPDATA%\drurqkwofiocsu\fhzjpfafd.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\drurqkwofiocsu\ayiowfl.exe' "%APPDATA%\drurqkwofiocsu\fhzjpfafd.exe"
- '%APPDATA%\drurqkwofiocsu\fhzjpfafd.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\drurqkwofiocsu\fhzjpfafd.guhw
- %APPDATA%\drurqkwofiocsu\ayiowfl.exe
- %APPDATA%\drurqkwofiocsu\fhzjpfafd.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\drurqkwofiocsu\ayiowfl.exe
- %APPDATA%\drurqkwofiocsu\fhzjpfafd.exe
Сетевая активность:
Подключается к:
- 'ch###share.net':80
- 'co####eshake.net':80
- 'of###nearly.net':80
- 'co####eshare.net':80
- 'ch###happen.net':80
- 'co####enearly.net':80
- 'ch###shake.net':80
- 'co####ehappen.net':80
- 'of###share.net':80
- 'al###shake.net':80
- 'mi####nearly.net':80
- 'al###share.net':80
- 'of###happen.net':80
- 'al###nearly.net':80
- 'of###shake.net':80
- 'al###happen.net':80
- 'th###river.net':80
- 'cl####ervice.net':80
- 'th###nearly.net':80
- 'cl###river.net':80
- 'th####uppose.net':80
- 'cl###mister.net':80
- 'th####ervice.net':80
- 'cl####uppose.net':80
- 'th###share.net':80
- 'pr####tshake.net':80
- 'ch###nearly.net':80
- 'pr####tshare.net':80
- 'th###happen.net':80
- 'pr####tnearly.net':80
- 'th###shake.net':80
- 'pr####thappen.net':80
TCP:
Запросы HTTP GET:
- http://ch###share.net/forum/search.php?em#############################################
- http://co####eshake.net/forum/search.php?em#############################################
- http://of###nearly.net/forum/search.php?em#############################################
- http://co####eshare.net/forum/search.php?em#############################################
- http://ch###happen.net/forum/search.php?em#############################################
- http://co####enearly.net/forum/search.php?em#############################################
- http://ch###shake.net/forum/search.php?em#############################################
- http://co####ehappen.net/forum/search.php?em#############################################
- http://of###share.net/forum/search.php?em#############################################
- http://al###shake.net/forum/search.php?em#############################################
- http://mi####nearly.net/forum/search.php?em#############################################
- http://al###share.net/forum/search.php?em#############################################
- http://of###happen.net/forum/search.php?em#############################################
- http://al###nearly.net/forum/search.php?em#############################################
- http://of###shake.net/forum/search.php?em#############################################
- http://al###happen.net/forum/search.php?em#############################################
- http://th###river.net/forum/search.php?em#############################################
- http://cl####ervice.net/forum/search.php?em#############################################
- http://th###nearly.net/forum/search.php?em#############################################
- http://cl###river.net/forum/search.php?em#############################################
- http://th####uppose.net/forum/search.php?em#############################################
- http://cl###mister.net/forum/search.php?em#############################################
- http://th####ervice.net/forum/search.php?em#############################################
- http://cl####uppose.net/forum/search.php?em#############################################
- http://th###share.net/forum/search.php?em#############################################
- http://pr####tshake.net/forum/search.php?em#############################################
- http://ch###nearly.net/forum/search.php?em#############################################
- http://pr####tshare.net/forum/search.php?em#############################################
- http://th###happen.net/forum/search.php?em#############################################
- http://pr####tnearly.net/forum/search.php?em#############################################
- http://th###shake.net/forum/search.php?em#############################################
- http://pr####thappen.net/forum/search.php?em#############################################
UDP:
- DNS ASK co####eshare.net
- DNS ASK ch###share.net
- DNS ASK al###nearly.net
- DNS ASK of###nearly.net
- DNS ASK co####ehappen.net
- DNS ASK ch###happen.net
- DNS ASK co####eshake.net
- DNS ASK ch###shake.net
- DNS ASK al###share.net
- DNS ASK of###share.net
- DNS ASK tw####nearly.net
- DNS ASK mi####nearly.net
- DNS ASK al###happen.net
- DNS ASK of###happen.net
- DNS ASK al###shake.net
- DNS ASK of###shake.net
- DNS ASK co####enearly.net
- DNS ASK th###river.net
- DNS ASK cl####ervice.net
- DNS ASK th###nearly.net
- DNS ASK cl###river.net
- DNS ASK th####uppose.net
- DNS ASK cl###mister.net
- DNS ASK th####ervice.net
- DNS ASK cl####uppose.net
- DNS ASK th###share.net
- DNS ASK pr####tshake.net
- DNS ASK ch###nearly.net
- DNS ASK pr####tshare.net
- DNS ASK th###happen.net
- DNS ASK pr####tnearly.net
- DNS ASK th###shake.net
- DNS ASK pr####thappen.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
