Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WebClient Keying Card Play' = '%APPDATA%\bwdwheyte\ukamveeg.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\bwdwheyte\kffxbdzxf.exe' "%APPDATA%\bwdwheyte\ukamveeg.exe"
- '%APPDATA%\bwdwheyte\ukamveeg.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\bwdwheyte\ukamveeg.s7cvd
- %APPDATA%\bwdwheyte\kffxbdzxf.exe
- %APPDATA%\bwdwheyte\ukamveeg.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\bwdwheyte\kffxbdzxf.exe
- %APPDATA%\bwdwheyte\ukamveeg.exe
Сетевая активность:
Подключается к:
- 'ex#####ncesuccess.net':80
- 'fr###banker.net':80
- 'ex#####ncespring.net':80
- 'fr####uccess.net':80
- 'ex#####ncebanker.net':80
- 'ge####manspring.net':80
- 'al####yspring.net':80
- 'ge####manfound.net':80
- 'al####yfound.net':80
- 'fr###spring.net':80
- 'fi####anguage.net':80
- 'pa###device.net':80
- 'fi###settle.net':80
- 'pa####anguage.net':80
- 'fi###device.net':80
- 'fr###found.net':80
- 'ex####encefound.net':80
- 'pa###before.net':80
- 'fi###before.net':80
- 'be###found.net':80
- 'kn###found.net':80
- 'fo####banker.net':80
- 'me####banker.net':80
- 'be###spring.net':80
- 'kn####uccess.net':80
- 'be###banker.net':80
- 'kn###spring.net':80
- 'be####uccess.net':80
- 'me####success.net':80
- 'ge####manbanker.net':80
- 'al####ybanker.net':80
- 'ge#####ansuccess.net':80
- 'al####ysuccess.net':80
- 'fo###wfound.net':80
- 'me####spring.net':80
- 'fo####success.net':80
- 'me###rfound.net':80
- 'fo####spring.net':80
- 'kn###before.net':80
- 'su####settle.net':80
- 'kn###device.net':80
- 'be###before.net':80
- 'cr###settle.net':80
- 'su####device.net':80
- 'cr###device.net':80
- 'su####language.net':80
- 'cr####anguage.net':80
- 'be###device.net':80
- 'me####device.net':80
- 'fo####before.net':80
- 'me####language.net':80
- 'fo####device.net':80
- 'me####before.net':80
- 'be####anguage.net':80
- 'kn####anguage.net':80
- 'be###settle.net':80
- 'kn###settle.net':80
- 'wo####anguage.net':80
- 'sm####anguage.net':80
- 'wo###settle.net':80
- 'sm###settle.net':80
- 'wo###device.net':80
- 'sm###before.net':80
- 'pa###settle.net':80
- 'sm###device.net':80
- 'wo###before.net':80
- 'wa###before.net':80
- 'th####tsettle.net':80
- 'wa###settle.net':80
- 'su####before.net':80
- 'cr###before.net':80
- 'th####tlanguage.net':80
- 'wa###device.net':80
- 'th####tbefore.net':80
- 'wa####anguage.net':80
- 'th####tdevice.net':80
TCP:
Запросы HTTP GET:
- http://ex#####ncesuccess.net/index.php?em#########################################
- http://fr###banker.net/index.php?em#########################################
- http://ex#####ncespring.net/index.php?em#########################################
- http://fr####uccess.net/index.php?em#########################################
- http://ex#####ncebanker.net/index.php?em#########################################
- http://ge####manspring.net/index.php?em#########################################
- http://al####yspring.net/index.php?em#########################################
- http://ge####manfound.net/index.php?em#########################################
- http://al####yfound.net/index.php?em#########################################
- http://fr###spring.net/index.php?em#########################################
- http://fi####anguage.net/index.php?em#########################################
- http://pa###device.net/index.php?em#########################################
- http://fi###settle.net/index.php?em#########################################
- http://pa####anguage.net/index.php?em#########################################
- http://fi###device.net/index.php?em#########################################
- http://fr###found.net/index.php?em#########################################
- http://ex####encefound.net/index.php?em#########################################
- http://pa###before.net/index.php?em#########################################
- http://fi###before.net/index.php?em#########################################
- http://be###found.net/index.php?em#########################################
- http://kn###found.net/index.php?em#########################################
- http://fo####banker.net/index.php?em#########################################
- http://me####banker.net/index.php?em#########################################
- http://be###spring.net/index.php?em#########################################
- http://kn####uccess.net/index.php?em#########################################
- http://be###banker.net/index.php?em#########################################
- http://kn###spring.net/index.php?em#########################################
- http://be####uccess.net/index.php?em#########################################
- http://me####success.net/index.php?em#########################################
- http://ge####manbanker.net/index.php?em#########################################
- http://al####ybanker.net/index.php?em#########################################
- http://ge#####ansuccess.net/index.php?em#########################################
- http://al####ysuccess.net/index.php?em#########################################
- http://fo###wfound.net/index.php?em#########################################
- http://me####spring.net/index.php?em#########################################
- http://fo####success.net/index.php?em#########################################
- http://me###rfound.net/index.php?em#########################################
- http://fo####spring.net/index.php?em#########################################
- http://kn###before.net/index.php?em#########################################
- http://su####settle.net/index.php?em#########################################
- http://kn###device.net/index.php?em#########################################
- http://be###before.net/index.php?em#########################################
- http://cr###settle.net/index.php?em#########################################
- http://su####device.net/index.php?em#########################################
- http://cr###device.net/index.php?em#########################################
- http://su####language.net/index.php?em#########################################
- http://cr####anguage.net/index.php?em#########################################
- http://be###device.net/index.php?em#########################################
- http://me####device.net/index.php?em#########################################
- http://fo####before.net/index.php?em#########################################
- http://me####language.net/index.php?em#########################################
- http://fo####device.net/index.php?em#########################################
- http://me####before.net/index.php?em#########################################
- http://be####anguage.net/index.php?em#########################################
- http://kn####anguage.net/index.php?em#########################################
- http://be###settle.net/index.php?em#########################################
- http://kn###settle.net/index.php?em#########################################
- http://wo####anguage.net/index.php?em#########################################
- http://sm####anguage.net/index.php?em#########################################
- http://wo###settle.net/index.php?em#########################################
- http://sm###settle.net/index.php?em#########################################
- http://wo###device.net/index.php?em#########################################
- http://sm###before.net/index.php?em#########################################
- http://pa###settle.net/index.php?em#########################################
- http://sm###device.net/index.php?em#########################################
- http://wo###before.net/index.php?em#########################################
- http://wa###before.net/index.php?em#########################################
- http://th####tsettle.net/index.php?em#########################################
- http://wa###settle.net/index.php?em#########################################
- http://su####before.net/index.php?em#########################################
- http://cr###before.net/index.php?em#########################################
- http://th####tlanguage.net/index.php?em#########################################
- http://wa###device.net/index.php?em#########################################
- http://th####tbefore.net/index.php?em#########################################
- http://wa####anguage.net/index.php?em#########################################
- http://th####tdevice.net/index.php?em#########################################
UDP:
- DNS ASK fr###banker.net
- DNS ASK ex#####ncebanker.net
- DNS ASK fr####uccess.net
- DNS ASK ex#####ncesuccess.net
- DNS ASK ge####manfound.net
- DNS ASK al####yspring.net
- DNS ASK ge#####ansuccess.net
- DNS ASK al####yfound.net
- DNS ASK ge####manspring.net
- DNS ASK ex#####ncespring.net
- DNS ASK pa###device.net
- DNS ASK fi###device.net
- DNS ASK pa####anguage.net
- DNS ASK fi####anguage.net
- DNS ASK pa###before.net
- DNS ASK ex####encefound.net
- DNS ASK fr###spring.net
- DNS ASK fi###before.net
- DNS ASK fr###found.net
- DNS ASK kn###found.net
- DNS ASK be###spring.net
- DNS ASK me####banker.net
- DNS ASK be###found.net
- DNS ASK kn###spring.net
- DNS ASK be###banker.net
- DNS ASK kn###banker.net
- DNS ASK be####uccess.net
- DNS ASK kn####uccess.net
- DNS ASK fo####banker.net
- DNS ASK al####ybanker.net
- DNS ASK fo###wfound.net
- DNS ASK al####ysuccess.net
- DNS ASK ge####manbanker.net
- DNS ASK me###rfound.net
- DNS ASK fo####success.net
- DNS ASK me####success.net
- DNS ASK fo####spring.net
- DNS ASK me####spring.net
- DNS ASK fi###settle.net
- DNS ASK kn###before.net
- DNS ASK su####settle.net
- DNS ASK kn###device.net
- DNS ASK be###before.net
- DNS ASK cr###settle.net
- DNS ASK su####device.net
- DNS ASK cr###device.net
- DNS ASK su####language.net
- DNS ASK cr####anguage.net
- DNS ASK be###device.net
- DNS ASK me####device.net
- DNS ASK fo####before.net
- DNS ASK me####language.net
- DNS ASK fo####device.net
- DNS ASK me####before.net
- DNS ASK be####anguage.net
- DNS ASK kn####anguage.net
- DNS ASK be###settle.net
- DNS ASK kn###settle.net
- DNS ASK wo####anguage.net
- DNS ASK sm####anguage.net
- DNS ASK wo###settle.net
- DNS ASK sm###settle.net
- DNS ASK wo###device.net
- DNS ASK sm###before.net
- DNS ASK pa###settle.net
- DNS ASK sm###device.net
- DNS ASK wo###before.net
- DNS ASK wa###before.net
- DNS ASK th####tsettle.net
- DNS ASK wa###settle.net
- DNS ASK su####before.net
- DNS ASK cr###before.net
- DNS ASK th####tlanguage.net
- DNS ASK wa###device.net
- DNS ASK th####tbefore.net
- DNS ASK wa####anguage.net
- DNS ASK th####tdevice.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
