Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Event Browser Coordinator Policy Performance' = '<LS_APPDATA>\gewpkkp\ekkxzkplclk.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\gewpkkp\sfqjdrcaht.exe' "<LS_APPDATA>\gewpkkp\ekkxzkplclk.exe"
- '<LS_APPDATA>\gewpkkp\ekkxzkplclk.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\gewpkkp\ekkxzkplclk.pg0
- <LS_APPDATA>\gewpkkp\sfqjdrcaht.exe
- <LS_APPDATA>\gewpkkp\ekkxzkplclk.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <LS_APPDATA>\gewpkkp\sfqjdrcaht.exe
- <LS_APPDATA>\gewpkkp\ekkxzkplclk.exe
Сетевая активность:
Подключается к:
- 'bu####ngmarket.net':80
- 'ev####gmarket.net':80
- 'bu####ngreport.net':80
- 'ou####egarden.net':80
- 'mo####ntbeauty.net':80
- 'ou####ebeauty.net':80
- 'mo####ntgarden.net':80
- 'ev####greport.net':80
- 'st###market.net':80
- 'mi###market.net':80
- 'st###report.net':80
- 'ev####ggarden.net':80
- 'bu####ngbeauty.net':80
- 'ev####gbeauty.net':80
- 'bu####nggarden.net':80
- 'ou####ereport.net':80
- 'st####thattempt.net':80
- 'st####ttempt.net':80
- 'st####thsquare.net':80
- 'de####spread.net':80
- 'pr####eneighbor.net':80
- 'de####neighbor.net':80
- 'pr####espread.net':80
- 'st###square.net':80
- 'mo####ntmarket.net':80
- 'ou####emarket.net':80
- 'mo####ntreport.net':80
- 'st###spread.net':80
- 'st#####hneighbor.net':80
- 'st####eighbor.net':80
- 'st####thspread.net':80
TCP:
Запросы HTTP GET:
- http://bu####ngmarket.net/forum/search.php?em##################################
- http://ev####gmarket.net/forum/search.php?em##################################
- http://bu####ngreport.net/forum/search.php?em##################################
- http://ou####egarden.net/forum/search.php?em##################################
- http://mo####ntbeauty.net/forum/search.php?em##################################
- http://ou####ebeauty.net/forum/search.php?em##################################
- http://mo####ntgarden.net/forum/search.php?em##################################
- http://ev####greport.net/forum/search.php?em##################################
- http://st###market.net/forum/search.php?em##################################
- http://mi###market.net/forum/search.php?em##################################
- http://st###report.net/forum/search.php?em##################################
- http://ev####ggarden.net/forum/search.php?em##################################
- http://bu####ngbeauty.net/forum/search.php?em##################################
- http://ev####gbeauty.net/forum/search.php?em##################################
- http://bu####nggarden.net/forum/search.php?em##################################
- http://ou####ereport.net/forum/search.php?em##################################
- http://st####thattempt.net/forum/search.php?em##################################
- http://st####ttempt.net/forum/search.php?em##################################
- http://st####thsquare.net/forum/search.php?em##################################
- http://de####spread.net/forum/search.php?em##################################
- http://pr####eneighbor.net/forum/search.php?em##################################
- http://de####neighbor.net/forum/search.php?em##################################
- http://pr####espread.net/forum/search.php?em##################################
- http://st###square.net/forum/search.php?em##################################
- http://mo####ntmarket.net/forum/search.php?em##################################
- http://ou####emarket.net/forum/search.php?em##################################
- http://mo####ntreport.net/forum/search.php?em##################################
- http://st###spread.net/forum/search.php?em##################################
- http://st#####hneighbor.net/forum/search.php?em##################################
- http://st####eighbor.net/forum/search.php?em##################################
- http://st####thspread.net/forum/search.php?em##################################
UDP:
- DNS ASK bu####ngmarket.net
- DNS ASK ev####gmarket.net
- DNS ASK bu####ngreport.net
- DNS ASK ou####egarden.net
- DNS ASK mo####ntbeauty.net
- DNS ASK ou####ebeauty.net
- DNS ASK mo####ntgarden.net
- DNS ASK ev####greport.net
- DNS ASK st###market.net
- DNS ASK mi###market.net
- DNS ASK st###report.net
- DNS ASK ev####ggarden.net
- DNS ASK bu####ngbeauty.net
- DNS ASK ev####gbeauty.net
- DNS ASK bu####nggarden.net
- DNS ASK ou####ereport.net
- DNS ASK st####thattempt.net
- DNS ASK st####ttempt.net
- DNS ASK st####thsquare.net
- DNS ASK de####spread.net
- DNS ASK pr####eneighbor.net
- DNS ASK de####neighbor.net
- DNS ASK pr####espread.net
- DNS ASK st###square.net
- DNS ASK mo####ntmarket.net
- DNS ASK ou####emarket.net
- DNS ASK mo####ntreport.net
- DNS ASK st###spread.net
- DNS ASK st#####hneighbor.net
- DNS ASK st####eighbor.net
- DNS ASK st####thspread.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
