Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Isolation Time Receiver Tracking Backup Level' = '%APPDATA%\jqjrhdn\viomlkgghml.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\jqjrhdn\lhhhfgrkuubu.exe' "%APPDATA%\jqjrhdn\viomlkgghml.exe"
- '%APPDATA%\jqjrhdn\viomlkgghml.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\jqjrhdn\viomlkgghml.xkb6
- %APPDATA%\jqjrhdn\lhhhfgrkuubu.exe
- %APPDATA%\jqjrhdn\viomlkgghml.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\jqjrhdn\viomlkgghml.exe
Сетевая активность:
Подключается к:
- 'th####action.net':80
- 'fi####direct.net':80
- 'fi####action.net':80
- 'fi####method.net':80
- 'th####method.net':80
- 'pi####emethod.net':80
- 'ci####ttemethod.net':80
- 'th####brought.net':80
- 'th####direct.net':80
- 'fi####brought.net':80
- 'ri####rought.net':80
- 'wh####rmethod.net':80
- 'ri###method.net':80
- 'fo####nbrought.net':80
- 'fo####ndirect.net':80
- 'su####brought.net':80
- 'ri###direct.net':80
- 'wh####rbrought.net':80
- 'wh####rdirect.net':80
- 'wh####raction.net':80
- 'ri###action.net':80
- 'ei####method.net':80
- 'en####hmethod.net':80
- 'fa####brought.net':80
- 'fa####direct.net':80
- 'ch####enbrought.net':80
- 'en####hdirect.net':80
- 'ei####brought.net':80
- 'ei####direct.net':80
- 'ei####action.net':80
- 'en####haction.net':80
- 'ch####endirect.net':80
- 'ci####ttedirect.net':80
- 'pi####ebrought.net':80
- 'pi####edirect.net':80
- 'pi####eaction.net':80
- 'ci####tteaction.net':80
- 'ch####enaction.net':80
- 'fa####action.net':80
- 'fa####method.net':80
- 'ci#####tebrought.net':80
- 'ch####enmethod.net':80
- 'su####direct.net':80
- 'ei###rround.net':80
- 'en####hround.net':80
- 'fa###yworth.net':80
- 'fa####likely.net':80
- 'ch####enworth.net':80
- 'en####hlikely.net':80
- 'ei###rworth.net':80
- 'ei####likely.net':80
- 'ei####glossary.net':80
- 'en####hglossary.net':80
- 'ch####enlikely.net':80
- 'ci####ttelikely.net':80
- 'pi####eworth.net':80
- 'pi####elikely.net':80
- 'pi####eglossary.net':80
- 'ci#####teglossary.net':80
- 'ch#####nglossary.net':80
- 'fa####glossary.net':80
- 'fa###yround.net':80
- 'ci####tteworth.net':80
- 'ch####enround.net':80
- 'ma####edirect.net':80
- 'pe####brought.net':80
- 'pe####direct.net':80
- 'pe####action.net':80
- 'ma####eaction.net':80
- 'su####action.net':80
- 'fo####naction.net':80
- 'fo####nmethod.net':80
- 'ma####ebrought.net':80
- 'su####method.net':80
- 'ma####emethod.net':80
- 'ex####action.net':80
- 'be####eaction.net':80
- 'be####emethod.net':80
- 'en####hworth.net':80
- 'ex####method.net':80
- 'be####ebrought.net':80
- 'pe####method.net':80
- 'ex####brought.net':80
- 'ex####direct.net':80
- 'be####edirect.net':80
TCP:
Запросы HTTP GET:
- http://th####action.net/index.php?em##################################################
- http://fi####direct.net/index.php?em##################################################
- http://fi####action.net/index.php?em##################################################
- http://fi####method.net/index.php?em##################################################
- http://th####method.net/index.php?em##################################################
- http://pi####emethod.net/index.php?em##################################################
- http://ci####ttemethod.net/index.php?em##################################################
- http://th####brought.net/index.php?em##################################################
- http://th####direct.net/index.php?em##################################################
- http://fi####brought.net/index.php?em##################################################
- http://ri####rought.net/index.php?em##################################################
- http://wh####rmethod.net/index.php?em##################################################
- http://ri###method.net/index.php?em##################################################
- http://fo####nbrought.net/index.php?em##################################################
- http://fo####ndirect.net/index.php?em##################################################
- http://su####brought.net/index.php?em##################################################
- http://ri###direct.net/index.php?em##################################################
- http://wh####rbrought.net/index.php?em##################################################
- http://wh####rdirect.net/index.php?em##################################################
- http://wh####raction.net/index.php?em##################################################
- http://ri###action.net/index.php?em##################################################
- http://ei####method.net/index.php?em##################################################
- http://en####hmethod.net/index.php?em##################################################
- http://fa####brought.net/index.php?em##################################################
- http://fa####direct.net/index.php?em##################################################
- http://ch####enbrought.net/index.php?em##################################################
- http://en####hdirect.net/index.php?em##################################################
- http://ei####brought.net/index.php?em##################################################
- http://ei####direct.net/index.php?em##################################################
- http://ei####action.net/index.php?em##################################################
- http://en####haction.net/index.php?em##################################################
- http://ch####endirect.net/index.php?em##################################################
- http://ci####ttedirect.net/index.php?em##################################################
- http://pi####ebrought.net/index.php?em##################################################
- http://pi####edirect.net/index.php?em##################################################
- http://pi####eaction.net/index.php?em##################################################
- http://ci####tteaction.net/index.php?em##################################################
- http://ch####enaction.net/index.php?em##################################################
- http://fa####action.net/index.php?em##################################################
- http://fa####method.net/index.php?em##################################################
- http://ci#####tebrought.net/index.php?em##################################################
- http://ch####enmethod.net/index.php?em##################################################
- http://su####direct.net/index.php?em##################################################
- http://ei###rround.net/index.php?em##################################################
- http://en####hround.net/index.php?em##################################################
- http://fa###yworth.net/index.php?em##################################################
- http://fa####likely.net/index.php?em##################################################
- http://ch####enworth.net/index.php?em##################################################
- http://en####hlikely.net/index.php?em##################################################
- http://ei###rworth.net/index.php?em##################################################
- http://ei####likely.net/index.php?em##################################################
- http://ei####glossary.net/index.php?em##################################################
- http://en####hglossary.net/index.php?em##################################################
- http://ch####enlikely.net/index.php?em##################################################
- http://ci####ttelikely.net/index.php?em##################################################
- http://pi####eworth.net/index.php?em##################################################
- http://pi####elikely.net/index.php?em##################################################
- http://pi####eglossary.net/index.php?em##################################################
- http://ci#####teglossary.net/index.php?em##################################################
- http://ch#####nglossary.net/index.php?em##################################################
- http://fa####glossary.net/index.php?em##################################################
- http://fa###yround.net/index.php?em##################################################
- http://ci####tteworth.net/index.php?em##################################################
- http://ch####enround.net/index.php?em##################################################
- http://ma####edirect.net/index.php?em##################################################
- http://pe####brought.net/index.php?em##################################################
- http://pe####direct.net/index.php?em##################################################
- http://pe####action.net/index.php?em##################################################
- http://ma####eaction.net/index.php?em##################################################
- http://su####action.net/index.php?em##################################################
- http://fo####naction.net/index.php?em##################################################
- http://fo####nmethod.net/index.php?em##################################################
- http://ma####ebrought.net/index.php?em##################################################
- http://su####method.net/index.php?em##################################################
- http://ma####emethod.net/index.php?em##################################################
- http://ex####action.net/index.php?em##################################################
- http://be####eaction.net/index.php?em##################################################
- http://be####emethod.net/index.php?em##################################################
- http://en####hworth.net/index.php?em##################################################
- http://ex####method.net/index.php?em##################################################
- http://be####ebrought.net/index.php?em##################################################
- http://pe####method.net/index.php?em##################################################
- http://ex####brought.net/index.php?em##################################################
- http://ex####direct.net/index.php?em##################################################
- http://be####edirect.net/index.php?em##################################################
UDP:
- DNS ASK th####action.net
- DNS ASK fi####direct.net
- DNS ASK fi####action.net
- DNS ASK fi####method.net
- DNS ASK th####method.net
- DNS ASK pi####emethod.net
- DNS ASK ci####ttemethod.net
- DNS ASK th####brought.net
- DNS ASK th####direct.net
- DNS ASK fi####brought.net
- DNS ASK ri####rought.net
- DNS ASK wh####rmethod.net
- DNS ASK ri###method.net
- DNS ASK fo####nbrought.net
- DNS ASK fo####ndirect.net
- DNS ASK su####brought.net
- DNS ASK ri###direct.net
- DNS ASK wh####rbrought.net
- DNS ASK wh####rdirect.net
- DNS ASK wh####raction.net
- DNS ASK ri###action.net
- DNS ASK ei####method.net
- DNS ASK en####hmethod.net
- DNS ASK fa####brought.net
- DNS ASK fa####direct.net
- DNS ASK ch####enbrought.net
- DNS ASK en####hdirect.net
- DNS ASK ei####brought.net
- DNS ASK ei####direct.net
- DNS ASK ei####action.net
- DNS ASK en####haction.net
- DNS ASK ch####endirect.net
- DNS ASK ci####ttedirect.net
- DNS ASK pi####ebrought.net
- DNS ASK pi####edirect.net
- DNS ASK pi####eaction.net
- DNS ASK ci####tteaction.net
- DNS ASK ch####enaction.net
- DNS ASK fa####action.net
- DNS ASK fa####method.net
- DNS ASK ci#####tebrought.net
- DNS ASK ch####enmethod.net
- DNS ASK su####direct.net
- DNS ASK ei###rround.net
- DNS ASK en####hround.net
- DNS ASK fa###yworth.net
- DNS ASK fa####likely.net
- DNS ASK ch####enworth.net
- DNS ASK en####hlikely.net
- DNS ASK ei###rworth.net
- DNS ASK ei####likely.net
- DNS ASK ei####glossary.net
- DNS ASK en####hglossary.net
- DNS ASK ch####enlikely.net
- DNS ASK ci####ttelikely.net
- DNS ASK pi####eworth.net
- DNS ASK pi####elikely.net
- DNS ASK pi####eglossary.net
- DNS ASK ci#####teglossary.net
- DNS ASK ch#####nglossary.net
- DNS ASK fa####glossary.net
- DNS ASK fa###yround.net
- DNS ASK ci####tteworth.net
- DNS ASK ch####enround.net
- DNS ASK ma####edirect.net
- DNS ASK pe####brought.net
- DNS ASK pe####direct.net
- DNS ASK pe####action.net
- DNS ASK ma####eaction.net
- DNS ASK su####action.net
- DNS ASK fo####naction.net
- DNS ASK fo####nmethod.net
- DNS ASK ma####ebrought.net
- DNS ASK su####method.net
- DNS ASK ma####emethod.net
- DNS ASK ex####action.net
- DNS ASK be####eaction.net
- DNS ASK be####emethod.net
- DNS ASK en####hworth.net
- DNS ASK ex####method.net
- DNS ASK be####ebrought.net
- DNS ASK pe####method.net
- DNS ASK ex####brought.net
- DNS ASK ex####direct.net
- DNS ASK be####edirect.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
