Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Store Power UserMode DHCP' = '%APPDATA%\rrucgjudcgaizmh\smzggist.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\rrucgjudcgaizmh\cxjnmtoge.exe' "%APPDATA%\rrucgjudcgaizmh\smzggist.exe"
- '%APPDATA%\rrucgjudcgaizmh\smzggist.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\rrucgjudcgaizmh\smzggist.df
- %APPDATA%\rrucgjudcgaizmh\cxjnmtoge.exe
- %APPDATA%\rrucgjudcgaizmh\smzggist.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\rrucgjudcgaizmh\cxjnmtoge.exe
- %APPDATA%\rrucgjudcgaizmh\smzggist.exe
Сетевая активность:
Подключается к:
- 'st####ountry.net':80
- 'st####thcountry.net':80
- 'mo#####tsurprise.net':80
- 'mo####ntbeside.net':80
- 'ou####esurprise.net':80
- 'st####thfamous.net':80
- 'st####entury.net':80
- 'st###famous.net':80
- 'st###power.net':80
- 'st####thpower.net':80
- 'ou####ebeside.net':80
- 'bu####ngbeside.net':80
- 'ev####gsurprise.net':80
- 'ev####gbeside.net':80
- 'ev####gletter.net':80
- 'bu####ngletter.net':80
- 'ou####eletter.net':80
- 'mo####ntletter.net':80
- 'mo#####tdifferent.net':80
- 'bu#####gsurprise.net':80
- 'ou#####different.net':80
- 'st####thcentury.net':80
- 're####century.net':80
- 'br####century.net':80
- 'br####famous.net':80
- 'br###npower.net':80
- 're####famous.net':80
- 'fe###wpower.net':80
- 'do####famous.net':80
- 'do###epower.net':80
- 'do####country.net':80
- 'fe####country.net':80
- 're###tpower.net':80
- 'pr####epower.net':80
- 'de####famous.net':80
- 'de###epower.net':80
- 'de####country.net':80
- 'pr####ecountry.net':80
- 're####country.net':80
- 'br####country.net':80
- 'pr####ecentury.net':80
- 'pr####efamous.net':80
- 'de####century.net':80
TCP:
Запросы HTTP GET:
- http://st####ountry.net/forum/search.php?em#########################################
- http://st####thcountry.net/forum/search.php?em#########################################
- http://mo#####tsurprise.net/forum/search.php?em#########################################
- http://mo####ntbeside.net/forum/search.php?em#########################################
- http://ou####esurprise.net/forum/search.php?em#########################################
- http://st####thfamous.net/forum/search.php?em#########################################
- http://st####entury.net/forum/search.php?em#########################################
- http://st###famous.net/forum/search.php?em#########################################
- http://st###power.net/forum/search.php?em#########################################
- http://st####thpower.net/forum/search.php?em#########################################
- http://ou####ebeside.net/forum/search.php?em#########################################
- http://bu####ngbeside.net/forum/search.php?em#########################################
- http://ev####gsurprise.net/forum/search.php?em#########################################
- http://ev####gbeside.net/forum/search.php?em#########################################
- http://ev####gletter.net/forum/search.php?em#########################################
- http://bu####ngletter.net/forum/search.php?em#########################################
- http://ou####eletter.net/forum/search.php?em#########################################
- http://mo####ntletter.net/forum/search.php?em#########################################
- http://mo#####tdifferent.net/forum/search.php?em#########################################
- http://bu#####gsurprise.net/forum/search.php?em#########################################
- http://ou#####different.net/forum/search.php?em#########################################
- http://st####thcentury.net/forum/search.php?em#########################################
- http://re####century.net/forum/search.php?em#########################################
- http://br####century.net/forum/search.php?em#########################################
- http://br####famous.net/forum/search.php?em#########################################
- http://br###npower.net/forum/search.php?em#########################################
- http://re####famous.net/forum/search.php?em#########################################
- http://fe###wpower.net/forum/search.php?em#########################################
- http://do####famous.net/forum/search.php?em#########################################
- http://do###epower.net/forum/search.php?em#########################################
- http://do####country.net/forum/search.php?em#########################################
- http://fe####country.net/forum/search.php?em#########################################
- http://re###tpower.net/forum/search.php?em#########################################
- http://pr####epower.net/forum/search.php?em#########################################
- http://de####famous.net/forum/search.php?em#########################################
- http://de###epower.net/forum/search.php?em#########################################
- http://de####country.net/forum/search.php?em#########################################
- http://pr####ecountry.net/forum/search.php?em#########################################
- http://re####country.net/forum/search.php?em#########################################
- http://br####country.net/forum/search.php?em#########################################
- http://pr####ecentury.net/forum/search.php?em#########################################
- http://pr####efamous.net/forum/search.php?em#########################################
- http://de####century.net/forum/search.php?em#########################################
UDP:
- DNS ASK mo#####tsurprise.net
- DNS ASK st####ountry.net
- DNS ASK ou####esurprise.net
- DNS ASK ou####ebeside.net
- DNS ASK mo####ntbeside.net
- DNS ASK st####thcountry.net
- DNS ASK st####thfamous.net
- DNS ASK st####entury.net
- DNS ASK st###famous.net
- DNS ASK st###power.net
- DNS ASK st####thpower.net
- DNS ASK ev####gbeside.net
- DNS ASK bu####ngbeside.net
- DNS ASK bu####ngletter.net
- DNS ASK bu#####gdifferent.net
- DNS ASK ev####gletter.net
- DNS ASK ev####gsurprise.net
- DNS ASK ou####eletter.net
- DNS ASK mo####ntletter.net
- DNS ASK mo#####tdifferent.net
- DNS ASK bu#####gsurprise.net
- DNS ASK ou#####different.net
- DNS ASK br####famous.net
- DNS ASK re####century.net
- DNS ASK re####famous.net
- DNS ASK re###tpower.net
- DNS ASK br###npower.net
- DNS ASK br####century.net
- DNS ASK fe###wpower.net
- DNS ASK do####famous.net
- DNS ASK do###epower.net
- DNS ASK do####country.net
- DNS ASK fe####country.net
- DNS ASK de###epower.net
- DNS ASK pr####epower.net
- DNS ASK pr####ecountry.net
- DNS ASK st####thcentury.net
- DNS ASK de####country.net
- DNS ASK de####famous.net
- DNS ASK re####country.net
- DNS ASK br####country.net
- DNS ASK pr####ecentury.net
- DNS ASK pr####efamous.net
- DNS ASK de####century.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
