Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'TP Files Isolation Machine' = '%APPDATA%\ahynqcv\zshlakpywzie.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ahynqcv\qswbkhe.exe' "%APPDATA%\ahynqcv\zshlakpywzie.exe"
- '%APPDATA%\ahynqcv\zshlakpywzie.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ahynqcv\zshlakpywzie.tfsjz
- %APPDATA%\ahynqcv\qswbkhe.exe
- %APPDATA%\ahynqcv\zshlakpywzie.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ahynqcv\qswbkhe.exe
- %APPDATA%\ahynqcv\zshlakpywzie.exe
Сетевая активность:
Подключается к:
- 'do####meeting.net':80
- 'pr####meeting.net':80
- 'do####chance.net':80
- 'pr####chance.net':80
- 'do#####nderstood.net':80
- 'pr#####nderstood.net':80
- 'do####twenty.net':80
- 'pr####twenty.net':80
- 'mi####nderstood.net':80
- 'mi###chance.net':80
- 'st####eeting.net':80
- 'ev#####understood.net':80
- 'st###chance.net':80
- 'mi###twenty.net':80
- 'st####nderstood.net':80
- 'mi####eeting.net':80
- 'st###twenty.net':80
- 're#####nderstood.net':80
- 'pr####echance.net':80
- 're####twenty.net':80
- 'br#####nderstood.net':80
- 'de####meeting.net':80
- 'pr####etwenty.net':80
- 'de####chance.net':80
- 'pr####emeeting.net':80
- 'br####twenty.net':80
- 'fe####twenty.net':80
- 'fe#####nderstood.net':80
- 'fe####chance.net':80
- 'fe####meeting.net':80
- 'br####meeting.net':80
- 're####meeting.net':80
- 'br####chance.net':80
- 're####chance.net':80
- 'bu#####gunderstood.net':80
- 'de###evalue.net':80
- 'st####thalmost.net':80
- 'de####orderly.net':80
- 'pr####evalue.net':80
- 'st###reason.net':80
- 'st####thorderly.net':80
- 'st###almost.net':80
- 'st####threason.net':80
- 'pr####eorderly.net':80
- 'br###nvalue.net':80
- 're###tvalue.net':80
- 'br####orderly.net':80
- 're####orderly.net':80
- 'pr####ereason.net':80
- 'de####reason.net':80
- 'pr####ealmost.net':80
- 'de####almost.net':80
- 'bu####ngchance.net':80
- 'ev####gchance.net':80
- 'mo#####tunderstood.net':80
- 'ou#####understood.net':80
- 'bu####ngtwenty.net':80
- 'ev####gtwenty.net':80
- 'bu####ngmeeting.net':80
- 'ev####gmeeting.net':80
- 'ou####etwenty.net':80
- 'st###value.net':80
- 'mo####ntchance.net':80
- 'st####rderly.net':80
- 'st####thvalue.net':80
- 'ou####emeeting.net':80
- 'mo####nttwenty.net':80
- 'ou####echance.net':80
- 'mo####ntmeeting.net':80
TCP:
Запросы HTTP GET:
- do####meeting.net/index.php?em#############################################
- pr####meeting.net/index.php?em#############################################
- do####chance.net/index.php?em#############################################
- pr####chance.net/index.php?em#############################################
- do#####nderstood.net/index.php?em#############################################
- pr#####nderstood.net/index.php?em#############################################
- do####twenty.net/index.php?em#############################################
- pr####twenty.net/index.php?em#############################################
- mi####nderstood.net/index.php?em#############################################
- mi###chance.net/index.php?em#############################################
- st####eeting.net/index.php?em#############################################
- ev#####understood.net/index.php?em#############################################
- st###chance.net/index.php?em#############################################
- mi###twenty.net/index.php?em#############################################
- st####nderstood.net/index.php?em#############################################
- mi####eeting.net/index.php?em#############################################
- st###twenty.net/index.php?em#############################################
- re#####nderstood.net/index.php?em#############################################
- pr####echance.net/index.php?em#############################################
- re####twenty.net/index.php?em#############################################
- br#####nderstood.net/index.php?em#############################################
- de####meeting.net/index.php?em#############################################
- pr####etwenty.net/index.php?em#############################################
- de####chance.net/index.php?em#############################################
- pr####emeeting.net/index.php?em#############################################
- br####twenty.net/index.php?em#############################################
- fe####twenty.net/index.php?em#############################################
- fe#####nderstood.net/index.php?em#############################################
- fe####chance.net/index.php?em#############################################
- fe####meeting.net/index.php?em#############################################
- br####meeting.net/index.php?em#############################################
- re####meeting.net/index.php?em#############################################
- br####chance.net/index.php?em#############################################
- re####chance.net/index.php?em#############################################
- bu#####gunderstood.net/index.php?em#############################################
- de###evalue.net/index.php?em#############################################
- st####thalmost.net/index.php?em#############################################
- de####orderly.net/index.php?em#############################################
- pr####evalue.net/index.php?em#############################################
- st###reason.net/index.php?em#############################################
- st####thorderly.net/index.php?em#############################################
- st###almost.net/index.php?em#############################################
- st####threason.net/index.php?em#############################################
- pr####eorderly.net/index.php?em#############################################
- br###nvalue.net/index.php?em#############################################
- re###tvalue.net/index.php?em#############################################
- br####orderly.net/index.php?em#############################################
- re####orderly.net/index.php?em#############################################
- pr####ereason.net/index.php?em#############################################
- de####reason.net/index.php?em#############################################
- pr####ealmost.net/index.php?em#############################################
- de####almost.net/index.php?em#############################################
- bu####ngchance.net/index.php?em#############################################
- ev####gchance.net/index.php?em#############################################
- mo#####tunderstood.net/index.php?em#############################################
- ou#####understood.net/index.php?em#############################################
- bu####ngtwenty.net/index.php?em#############################################
- ev####gtwenty.net/index.php?em#############################################
- bu####ngmeeting.net/index.php?em#############################################
- ev####gmeeting.net/index.php?em#############################################
- ou####etwenty.net/index.php?em#############################################
- st###value.net/index.php?em#############################################
- mo####ntchance.net/index.php?em#############################################
- st####rderly.net/index.php?em#############################################
- st####thvalue.net/index.php?em#############################################
- ou####emeeting.net/index.php?em#############################################
- mo####nttwenty.net/index.php?em#############################################
- ou####echance.net/index.php?em#############################################
- mo####ntmeeting.net/index.php?em#############################################
UDP:
- DNS ASK do####meeting.net
- DNS ASK pr####meeting.net
- DNS ASK do####chance.net
- DNS ASK pr####chance.net
- DNS ASK do#####nderstood.net
- DNS ASK pr#####nderstood.net
- DNS ASK do####twenty.net
- DNS ASK pr####twenty.net
- DNS ASK mi####nderstood.net
- DNS ASK mi###chance.net
- DNS ASK st####eeting.net
- DNS ASK ev#####understood.net
- DNS ASK st###chance.net
- DNS ASK mi###twenty.net
- DNS ASK st####nderstood.net
- DNS ASK mi####eeting.net
- DNS ASK st###twenty.net
- DNS ASK fe####chance.net
- DNS ASK pr####echance.net
- DNS ASK de####chance.net
- DNS ASK br#####nderstood.net
- DNS ASK re#####nderstood.net
- DNS ASK pr####etwenty.net
- DNS ASK de####twenty.net
- DNS ASK pr####emeeting.net
- DNS ASK de####meeting.net
- DNS ASK re####twenty.net
- DNS ASK fe#####nderstood.net
- DNS ASK br####chance.net
- DNS ASK fe####meeting.net
- DNS ASK fe####twenty.net
- DNS ASK re####meeting.net
- DNS ASK br####twenty.net
- DNS ASK re####chance.net
- DNS ASK br####meeting.net
- DNS ASK de###evalue.net
- DNS ASK st####thalmost.net
- DNS ASK de####orderly.net
- DNS ASK pr####evalue.net
- DNS ASK st###reason.net
- DNS ASK st####thorderly.net
- DNS ASK st###almost.net
- DNS ASK st####threason.net
- DNS ASK pr####eorderly.net
- DNS ASK br###nvalue.net
- DNS ASK re###tvalue.net
- DNS ASK br####orderly.net
- DNS ASK re####orderly.net
- DNS ASK pr####ereason.net
- DNS ASK de####reason.net
- DNS ASK pr####ealmost.net
- DNS ASK de####almost.net
- DNS ASK st####rderly.net
- DNS ASK ev####gchance.net
- DNS ASK bu####ngmeeting.net
- DNS ASK ou#####understood.net
- DNS ASK bu####ngchance.net
- DNS ASK ev####gtwenty.net
- DNS ASK bu#####gunderstood.net
- DNS ASK ev####gmeeting.net
- DNS ASK bu####ngtwenty.net
- DNS ASK mo#####tunderstood.net
- DNS ASK mo####ntchance.net
- DNS ASK ou####echance.net
- DNS ASK st####thvalue.net
- DNS ASK st###value.net
- DNS ASK mo####nttwenty.net
- DNS ASK ou####etwenty.net
- DNS ASK mo####ntmeeting.net
- DNS ASK ou####emeeting.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
