Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SSDP Computer Backup Solutions WWAN Driver' = '%APPDATA%\bqquqvzlsjpozwl\xkdwpgwootp.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\bqquqvzlsjpozwl\xmmtsjgulj.exe' "%APPDATA%\bqquqvzlsjpozwl\xkdwpgwootp.exe"
- '%APPDATA%\bqquqvzlsjpozwl\xkdwpgwootp.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\bqquqvzlsjpozwl\xkdwpgwootp.xqx
- %APPDATA%\bqquqvzlsjpozwl\xmmtsjgulj.exe
- %APPDATA%\bqquqvzlsjpozwl\xkdwpgwootp.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\bqquqvzlsjpozwl\xmmtsjgulj.exe
- %APPDATA%\bqquqvzlsjpozwl\xkdwpgwootp.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'st####thnumber.net':80
- 'de####partial.net':80
- 'st#####hposition.net':80
- 'st###number.net':80
- 'pr####epartial.net':80
- 'de####position.net':80
- 'pr####eposition.net':80
- 'de####strike.net':80
- 'pr####estrike.net':80
- 'st####osition.net':80
- 'mo####ntsquare.net':80
- 'ou####eattempt.net':80
- 'mo#####tneighbor.net':80
- 'ou####esquare.net':80
- 'mo####ntattempt.net':80
- 'st###strike.net':80
- 'st####thstrike.net':80
- 'st####artial.net':80
- 'st####thpartial.net':80
- 'do####strike.net':80
- 'fe####strike.net':80
- 'do####partial.net':80
- 'fe####partial.net':80
- 'do####position.net':80
- 'fe####number.net':80
- 'pr####partial.net':80
- 'fe####position.net':80
- 'do####number.net':80
- 'br####number.net':80
- 're####partial.net':80
- 'br####partial.net':80
- 'de####number.net':80
- 'pr####enumber.net':80
- 're####strike.net':80
- 'br####position.net':80
- 're####number.net':80
- 'br####strike.net':80
- 're####position.net':80
TCP:
Запросы HTTP GET:
- st####thnumber.net/index.php?em###########################################
- de####partial.net/index.php?em###########################################
- st#####hposition.net/index.php?em###########################################
- st###number.net/index.php?em###########################################
- pr####epartial.net/index.php?em###########################################
- de####position.net/index.php?em###########################################
- pr####eposition.net/index.php?em###########################################
- de####strike.net/index.php?em###########################################
- pr####estrike.net/index.php?em###########################################
- st####osition.net/index.php?em###########################################
- mo####ntsquare.net/index.php?em###########################################
- ou####eattempt.net/index.php?em###########################################
- mo#####tneighbor.net/index.php?em###########################################
- ou####esquare.net/index.php?em###########################################
- mo####ntattempt.net/index.php?em###########################################
- st###strike.net/index.php?em###########################################
- st####thstrike.net/index.php?em###########################################
- st####artial.net/index.php?em###########################################
- st####thpartial.net/index.php?em###########################################
- do####strike.net/index.php?em###########################################
- fe####strike.net/index.php?em###########################################
- do####partial.net/index.php?em###########################################
- fe####partial.net/index.php?em###########################################
- do####position.net/index.php?em###########################################
- fe####number.net/index.php?em###########################################
- pr####partial.net/index.php?em###########################################
- fe####position.net/index.php?em###########################################
- do####number.net/index.php?em###########################################
- br####number.net/index.php?em###########################################
- re####partial.net/index.php?em###########################################
- br####partial.net/index.php?em###########################################
- de####number.net/index.php?em###########################################
- pr####enumber.net/index.php?em###########################################
- re####strike.net/index.php?em###########################################
- br####position.net/index.php?em###########################################
- re####number.net/index.php?em###########################################
- br####strike.net/index.php?em###########################################
- re####position.net/index.php?em###########################################
UDP:
- DNS ASK st###number.net
- DNS ASK st####thnumber.net
- DNS ASK st####osition.net
- DNS ASK st#####hposition.net
- DNS ASK de####partial.net
- DNS ASK pr####estrike.net
- DNS ASK de####position.net
- DNS ASK pr####epartial.net
- DNS ASK de####strike.net
- DNS ASK st####thstrike.net
- DNS ASK ou####esquare.net
- DNS ASK mo####ntsquare.net
- DNS ASK ou####eneighbor.net
- DNS ASK mo#####tneighbor.net
- DNS ASK ou####eattempt.net
- DNS ASK st####thpartial.net
- DNS ASK st###strike.net
- DNS ASK mo####ntattempt.net
- DNS ASK st####artial.net
- DNS ASK pr####eposition.net
- DNS ASK do####strike.net
- DNS ASK fe####strike.net
- DNS ASK do####partial.net
- DNS ASK fe####partial.net
- DNS ASK do####position.net
- DNS ASK fe####number.net
- DNS ASK pr####partial.net
- DNS ASK fe####position.net
- DNS ASK do####number.net
- DNS ASK br####number.net
- DNS ASK re####partial.net
- DNS ASK br####partial.net
- DNS ASK de####number.net
- DNS ASK pr####enumber.net
- DNS ASK re####strike.net
- DNS ASK br####position.net
- DNS ASK re####number.net
- DNS ASK br####strike.net
- DNS ASK re####position.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
