Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Firewall Source Endpoint Background' = '<LS_APPDATA>\tbboznnbnubryqr\mzczhaddoaen.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\tbboznnbnubryqr\hphkoxljazwl.exe' "<LS_APPDATA>\tbboznnbnubryqr\mzczhaddoaen.exe"
- '<LS_APPDATA>\tbboznnbnubryqr\mzczhaddoaen.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\tbboznnbnubryqr\mzczhaddoaen.kif
- <LS_APPDATA>\tbboznnbnubryqr\hphkoxljazwl.exe
- <LS_APPDATA>\tbboznnbnubryqr\mzczhaddoaen.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <LS_APPDATA>\tbboznnbnubryqr\hphkoxljazwl.exe
- <LS_APPDATA>\tbboznnbnubryqr\mzczhaddoaen.exe
Сетевая активность:
Подключается к:
- 'ra####promise.net':80
- 'mo####gopinion.net':80
- 'ra####opinion.net':80
- 'hi####yshould.net':80
- 'st####eshould.net':80
- 'mo####gpromise.net':80
- 'mo####gshort.net':80
- 'tw####promise.net':80
- 'mi####promise.net':80
- 'tw####opinion.net':80
- 'ra###rshort.net':80
- 'mo####gshould.net':80
- 'ra####should.net':80
- 'we####rshort.net':80
- 'am###tshort.net':80
- 'we####rshould.net':80
- 'am####promise.net':80
- 'we####ropinion.net':80
- 'am####opinion.net':80
- 'am####should.net':80
- 'st####eopinion.net':80
- 'hi####yshort.net':80
- 'st####eshort.net':80
- 'hi####ypromise.net':80
- 'st####epromise.net':80
- 'hi####yopinion.net':80
- 'mi####opinion.net':80
- 'co####eshort.net':80
- 'ch###short.net':80
- 'co####eshould.net':80
- 'ch####romise.net':80
- 'co####eopinion.net':80
- 'ch####pinion.net':80
- 'ch###should.net':80
- 'th####pinion.net':80
- 'pr####tshort.net':80
- 'th###short.net':80
- 'pr####tpromise.net':80
- 'th####romise.net':80
- 'pr####topinion.net':80
- 'mi####should.net':80
- 'al####romise.net':80
- 'of####romise.net':80
- 'tw###eshort.net':80
- 'mi###eshort.net':80
- 'tw####should.net':80
- 'al####pinion.net':80
- 'al###should.net':80
- 'of###should.net':80
- 'co####epromise.net':80
- 'of####pinion.net':80
- 'al###short.net':80
- 'of###short.net':80
TCP:
Запросы HTTP GET:
- http://ra####promise.net/forum/search.php?em##########################################
- http://mo####gopinion.net/forum/search.php?em##########################################
- http://ra####opinion.net/forum/search.php?em##########################################
- http://hi####yshould.net/forum/search.php?em##########################################
- http://st####eshould.net/forum/search.php?em##########################################
- http://mo####gpromise.net/forum/search.php?em##########################################
- http://mo####gshort.net/forum/search.php?em##########################################
- http://tw####promise.net/forum/search.php?em##########################################
- http://mi####promise.net/forum/search.php?em##########################################
- http://tw####opinion.net/forum/search.php?em##########################################
- http://ra###rshort.net/forum/search.php?em##########################################
- http://mo####gshould.net/forum/search.php?em##########################################
- http://ra####should.net/forum/search.php?em##########################################
- http://we####rshort.net/forum/search.php?em##########################################
- http://am###tshort.net/forum/search.php?em##########################################
- http://we####rshould.net/forum/search.php?em##########################################
- http://am####promise.net/forum/search.php?em##########################################
- http://we####ropinion.net/forum/search.php?em##########################################
- http://am####opinion.net/forum/search.php?em##########################################
- http://am####should.net/forum/search.php?em##########################################
- http://st####eopinion.net/forum/search.php?em##########################################
- http://hi####yshort.net/forum/search.php?em##########################################
- http://st####eshort.net/forum/search.php?em##########################################
- http://hi####ypromise.net/forum/search.php?em##########################################
- http://st####epromise.net/forum/search.php?em##########################################
- http://hi####yopinion.net/forum/search.php?em##########################################
- http://mi####opinion.net/forum/search.php?em##########################################
- http://co####eshort.net/forum/search.php?em##########################################
- http://ch###short.net/forum/search.php?em##########################################
- http://co####eshould.net/forum/search.php?em##########################################
- http://ch####romise.net/forum/search.php?em##########################################
- http://co####eopinion.net/forum/search.php?em##########################################
- http://ch####pinion.net/forum/search.php?em##########################################
- http://ch###should.net/forum/search.php?em##########################################
- http://th####pinion.net/forum/search.php?em##########################################
- http://pr####tshort.net/forum/search.php?em##########################################
- http://th###short.net/forum/search.php?em##########################################
- http://pr####tpromise.net/forum/search.php?em##########################################
- http://th####romise.net/forum/search.php?em##########################################
- http://pr####topinion.net/forum/search.php?em##########################################
- http://mi####should.net/forum/search.php?em##########################################
- http://al####romise.net/forum/search.php?em##########################################
- http://of####romise.net/forum/search.php?em##########################################
- http://tw###eshort.net/forum/search.php?em##########################################
- http://mi###eshort.net/forum/search.php?em##########################################
- http://tw####should.net/forum/search.php?em##########################################
- http://al####pinion.net/forum/search.php?em##########################################
- http://al###should.net/forum/search.php?em##########################################
- http://of###should.net/forum/search.php?em##########################################
- http://co####epromise.net/forum/search.php?em##########################################
- http://of####pinion.net/forum/search.php?em##########################################
- http://al###short.net/forum/search.php?em##########################################
- http://of###short.net/forum/search.php?em##########################################
UDP:
- DNS ASK ra####promise.net
- DNS ASK mo####gopinion.net
- DNS ASK ra####opinion.net
- DNS ASK hi####yshould.net
- DNS ASK st####eshould.net
- DNS ASK mo####gpromise.net
- DNS ASK mo####gshort.net
- DNS ASK tw####promise.net
- DNS ASK mi####promise.net
- DNS ASK tw####opinion.net
- DNS ASK ra###rshort.net
- DNS ASK mo####gshould.net
- DNS ASK ra####should.net
- DNS ASK st####eshort.net
- DNS ASK am####opinion.net
- DNS ASK we####rshort.net
- DNS ASK am###tshort.net
- DNS ASK we####rpromise.net
- DNS ASK am####promise.net
- DNS ASK we####ropinion.net
- DNS ASK we####rshould.net
- DNS ASK hi####yopinion.net
- DNS ASK st####eopinion.net
- DNS ASK hi####yshort.net
- DNS ASK am####should.net
- DNS ASK hi####ypromise.net
- DNS ASK st####epromise.net
- DNS ASK co####eshort.net
- DNS ASK ch###short.net
- DNS ASK co####eshould.net
- DNS ASK ch####romise.net
- DNS ASK co####eopinion.net
- DNS ASK ch####pinion.net
- DNS ASK ch###should.net
- DNS ASK th####pinion.net
- DNS ASK pr####tshort.net
- DNS ASK th###short.net
- DNS ASK pr####tpromise.net
- DNS ASK th####romise.net
- DNS ASK pr####topinion.net
- DNS ASK co####epromise.net
- DNS ASK tw####should.net
- DNS ASK mi####should.net
- DNS ASK al####romise.net
- DNS ASK mi####opinion.net
- DNS ASK tw###eshort.net
- DNS ASK mi###eshort.net
- DNS ASK of####romise.net
- DNS ASK of###short.net
- DNS ASK al###should.net
- DNS ASK of###should.net
- DNS ASK al####pinion.net
- DNS ASK of####pinion.net
- DNS ASK al###short.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
