Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Layer Auto Tools Ordering Smart Store' = 'C:\gcqhosa\ygqxzilrheyc.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Themes Disk Play Credential Tools] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\gcqhosa\aozfnxhb.exe' "c:\gcqhosa\ygqxzilrheyc.exe"
- 'C:\gcqhosa\ygqxzilrheyc.exe'
- 'C:\gcqhosa\r1bt4knyluicmdsz0.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\gcqhosa\ygqxzilrheyc.exe
- C:\gcqhosa\aozfnxhb.exe
- C:\gcqhosa\w1wjmpopr
- %WINDIR%\gcqhosa\f3qithsntyb
- C:\gcqhosa\f3qithsntyb
- C:\gcqhosa\r1bt4knyluicmdsz0.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\gcqhosa\aozfnxhb.exe
- C:\gcqhosa\ygqxzilrheyc.exe
Удаляет следующие файлы:
- C:\gcqhosa\r1bt4knyluicmdsz0.exe
- %WINDIR%\gcqhosa\f3qithsntyb
Сетевая активность:
Подключается к:
- 'pe####sangry.net':80
- 'wi###wangry.net':80
- 'pe####sarticle.net':80
- 'wi###wdried.net':80
- 'pe####sfifteen.net':80
- 'wi####fifteen.net':80
- 'wi####article.net':80
- 'wi###rangry.net':80
- 'su####tangry.net':80
- 'su####tarticle.net':80
- 'wi###rdried.net':80
- 'su####tdried.net':80
- 'su####tfifteen.net':80
- 'pe####sdried.net':80
- 'si####article.net':80
- 'mo####article.net':80
- 'mo####indried.net':80
- 'mo####fifteen.net':80
- 'si###eangry.net':80
- 'mo###rangry.net':80
- 'po####ledried.net':80
- 'po####leangry.net':80
- 'mo####inarticle.net':80
- 'po####learticle.net':80
- 'mo####infifteen.net':80
- 'po####lefifteen.net':80
- 'mo####inangry.net':80
TCP:
Запросы HTTP GET:
- http://pe####sangry.net/index.php
- http://wi###wangry.net/index.php
- http://pe####sarticle.net/index.php
- http://wi###wdried.net/index.php
- http://pe####sfifteen.net/index.php
- http://wi####fifteen.net/index.php
- http://wi####article.net/index.php
- http://wi###rangry.net/index.php
- http://su####tangry.net/index.php
- http://su####tarticle.net/index.php
- http://wi###rdried.net/index.php
- http://su####tdried.net/index.php
- http://su####tfifteen.net/index.php
- http://pe####sdried.net/index.php
- http://si####article.net/index.php
- http://mo####article.net/index.php
- http://mo####indried.net/index.php
- http://mo####fifteen.net/index.php
- http://si###eangry.net/index.php
- http://mo###rangry.net/index.php
- http://po####ledried.net/index.php
- http://po####leangry.net/index.php
- http://mo####inarticle.net/index.php
- http://po####learticle.net/index.php
- http://mo####infifteen.net/index.php
- http://po####lefifteen.net/index.php
- http://mo####inangry.net/index.php
UDP:
- DNS ASK wi###wangry.net
- DNS ASK pe####sarticle.net
- DNS ASK wi####article.net
- DNS ASK pe####sangry.net
- DNS ASK wi###wdried.net
- DNS ASK pe####sfifteen.net
- DNS ASK wi####fifteen.net
- DNS ASK su####tangry.net
- DNS ASK su####tarticle.net
- DNS ASK fi###hdried.net
- DNS ASK wi###rangry.net
- DNS ASK wi###rdried.net
- DNS ASK su####tdried.net
- DNS ASK su####tfifteen.net
- DNS ASK mo####article.net
- DNS ASK mo####indried.net
- DNS ASK po####ledried.net
- DNS ASK si####article.net
- DNS ASK mo####fifteen.net
- DNS ASK si###eangry.net
- DNS ASK mo###rangry.net
- DNS ASK mo####inarticle.net
- DNS ASK po####learticle.net
- DNS ASK pe####sdried.net
- DNS ASK po####leangry.net
- DNS ASK mo####infifteen.net
- DNS ASK po####lefifteen.net
- DNS ASK mo####inangry.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
