Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Propagation Level Initiator IKE Protocol' = '%APPDATA%\jlcfntcpiqkc\ovtqgzokvx.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\jlcfntcpiqkc\gosrflzjgc.exe' "%APPDATA%\jlcfntcpiqkc\ovtqgzokvx.exe"
- '%APPDATA%\jlcfntcpiqkc\ovtqgzokvx.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\jlcfntcpiqkc\ovtqgzokvx.zt8
- %APPDATA%\jlcfntcpiqkc\gosrflzjgc.exe
- %APPDATA%\jlcfntcpiqkc\ovtqgzokvx.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\jlcfntcpiqkc\ovtqgzokvx.exe
Сетевая активность:
Подключается к:
- 'ex###tdress.net':80
- 'be####epublic.net':80
- 'be####edress.net':80
- 'ma####ecatch.net':80
- 'pe###ncatch.net':80
- 'ex####public.net':80
- 'ex###tcatch.net':80
- 'en####hdistant.net':80
- 'be####ecatch.net':80
- 'be####eeearly.net':80
- 'ex####eearly.net':80
- 'fo####ncatch.net':80
- 'su###ncatch.net':80
- 'su####eearly.net':80
- 'su####public.net':80
- 'fo####neearly.net':80
- 'ma####edress.net':80
- 'ma####eeearly.net':80
- 'pe####eearly.net':80
- 'pe####public.net':80
- 'pe###ndress.net':80
- 'ma####epublic.net':80
- 'ch#####nseparate.net':80
- 'ci#####tedistant.net':80
- 'fa####separate.net':80
- 'fa####health.net':80
- 'ch####enhealth.net':80
- 'pi####edistant.net':80
- 'pi####ehealth.net':80
- 'ci#####teseparate.net':80
- 'ci####ttehealth.net':80
- 'ci#####teclothes.net':80
- 'pi####eclothes.net':80
- 'en####hhealth.net':80
- 'ei####health.net':80
- 'ei####clothes.net':80
- 'ei####distant.net':80
- 'en####hclothes.net':80
- 'en####hseparate.net':80
- 'fa####clothes.net':80
- 'ch####enclothes.net':80
- 'ch####endistant.net':80
- 'ei####separate.net':80
- 'fa####distant.net':80
TCP:
Запросы HTTP GET:
- http://ex###tdress.net/index.php?em###########################################
- http://be####epublic.net/index.php?em###########################################
- http://be####edress.net/index.php?em###########################################
- http://ma####ecatch.net/index.php?em###########################################
- http://pe###ncatch.net/index.php?em###########################################
- http://ex####public.net/index.php?em###########################################
- http://ex###tcatch.net/index.php?em###########################################
- http://en####hdistant.net/index.php?em###########################################
- http://be####ecatch.net/index.php?em###########################################
- http://be####eeearly.net/index.php?em###########################################
- http://ex####eearly.net/index.php?em###########################################
- http://fo####ncatch.net/index.php?em###########################################
- http://su###ncatch.net/index.php?em###########################################
- http://su####eearly.net/index.php?em###########################################
- http://su####public.net/index.php?em###########################################
- http://fo####neearly.net/index.php?em###########################################
- http://ma####edress.net/index.php?em###########################################
- http://ma####eeearly.net/index.php?em###########################################
- http://pe####eearly.net/index.php?em###########################################
- http://pe####public.net/index.php?em###########################################
- http://pe###ndress.net/index.php?em###########################################
- http://ma####epublic.net/index.php?em###########################################
- http://ch#####nseparate.net/index.php?em###########################################
- http://ci#####tedistant.net/index.php?em###########################################
- http://fa####separate.net/index.php?em###########################################
- http://fa####health.net/index.php?em###########################################
- http://ch####enhealth.net/index.php?em###########################################
- http://pi####edistant.net/index.php?em###########################################
- http://pi####ehealth.net/index.php?em###########################################
- http://ci#####teseparate.net/index.php?em###########################################
- http://ci####ttehealth.net/index.php?em###########################################
- http://ci#####teclothes.net/index.php?em###########################################
- http://pi####eclothes.net/index.php?em###########################################
- http://en####hhealth.net/index.php?em###########################################
- http://ei####health.net/index.php?em###########################################
- http://ei####clothes.net/index.php?em###########################################
- http://ei####distant.net/index.php?em###########################################
- http://en####hclothes.net/index.php?em###########################################
- http://en####hseparate.net/index.php?em###########################################
- http://fa####clothes.net/index.php?em###########################################
- http://ch####enclothes.net/index.php?em###########################################
- http://ch####endistant.net/index.php?em###########################################
- http://ei####separate.net/index.php?em###########################################
- http://fa####distant.net/index.php?em###########################################
UDP:
- DNS ASK ex###tdress.net
- DNS ASK be####epublic.net
- DNS ASK be####edress.net
- DNS ASK ma####ecatch.net
- DNS ASK pe###ncatch.net
- DNS ASK ex####public.net
- DNS ASK ex###tcatch.net
- DNS ASK en####hdistant.net
- DNS ASK be####ecatch.net
- DNS ASK be####eeearly.net
- DNS ASK ex####eearly.net
- DNS ASK fo####ncatch.net
- DNS ASK su###ncatch.net
- DNS ASK su####eearly.net
- DNS ASK su####public.net
- DNS ASK fo####neearly.net
- DNS ASK ma####edress.net
- DNS ASK ma####eeearly.net
- DNS ASK pe####eearly.net
- DNS ASK pe####public.net
- DNS ASK pe###ndress.net
- DNS ASK ma####epublic.net
- DNS ASK ch#####nseparate.net
- DNS ASK ci#####tedistant.net
- DNS ASK fa####separate.net
- DNS ASK fa####health.net
- DNS ASK ch####enhealth.net
- DNS ASK pi####edistant.net
- DNS ASK pi####ehealth.net
- DNS ASK ci#####teseparate.net
- DNS ASK ci####ttehealth.net
- DNS ASK ci#####teclothes.net
- DNS ASK pi####eclothes.net
- DNS ASK en####hhealth.net
- DNS ASK ei####health.net
- DNS ASK ei####clothes.net
- DNS ASK ei####distant.net
- DNS ASK en####hclothes.net
- DNS ASK en####hseparate.net
- DNS ASK fa####clothes.net
- DNS ASK ch####enclothes.net
- DNS ASK ch####endistant.net
- DNS ASK ei####separate.net
- DNS ASK fa####distant.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
