Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Bluetooth Control Removal Multimedia' = '%APPDATA%\fcnbhdipqq\piapnlnqgam.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\fcnbhdipqq\rsbmpsu.exe' "%APPDATA%\fcnbhdipqq\piapnlnqgam.exe"
- '%APPDATA%\fcnbhdipqq\piapnlnqgam.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\fcnbhdipqq\piapnlnqgam.cna
- %APPDATA%\fcnbhdipqq\rsbmpsu.exe
- %APPDATA%\fcnbhdipqq\piapnlnqgam.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\fcnbhdipqq\rsbmpsu.exe
- %APPDATA%\fcnbhdipqq\piapnlnqgam.exe
Сетевая активность:
Подключается к:
- 'ch####osition.net':80
- 'th###number.net':80
- 'ch###number.net':80
- 'th####osition.net':80
- 'ch####artial.net':80
- 'th###strike.net':80
- 'ch###strike.net':80
- 'be####partial.net':80
- 'ri####position.net':80
- 'be####number.net':80
- 'ri####number.net':80
- 'be####position.net':80
- 'ri####partial.net':80
- 'be####strike.net':80
- 'ri####strike.net':80
- 'th####artial.net':80
- 'ef####position.net':80
- 'th####hnumber.net':80
- 'ef####number.net':80
- 'th####hposition.net':80
- 'ef####partial.net':80
- 'th####hstrike.net':80
- 'ef####strike.net':80
- 'su####partial.net':80
- 'wi####position.net':80
- 'su####number.net':80
- 'wi####number.net':80
- 'su####position.net':80
- 'wi####partial.net':80
- 'su####strike.net':80
- 'wi####strike.net':80
- 'li####partial.net':80
- 'wo###train.net':80
- 're####erborrow.net':80
- 'wo###borrow.net':80
- 're####ertrain.net':80
- 'wo####elight.net':80
- 're#####relectricity.net':80
- 'wo#####ectricity.net':80
- 'in####sedelight.net':80
- 'fo###ttrain.net':80
- 'in####seborrow.net':80
- 'fo####borrow.net':80
- 'in####setrain.net':80
- 'fo####delight.net':80
- 'in#####eelectricity.net':80
- 'fo#####lectricity.net':80
- 're####erdelight.net':80
- 'de####yposition.net':80
- 'li####number.net':80
- 'de####ynumber.net':80
- 'li####position.net':80
- 'de####ypartial.net':80
- 'li####strike.net':80
- 'de####ystrike.net':80
- 'hu####dpartial.net':80
- 'jo####yposition.net':80
- 'hu####dnumber.net':80
- 'jo####ynumber.net':80
- 'hu####dposition.net':80
- 'jo####ypartial.net':80
- 'hu####dstrike.net':80
- 'jo####ystrike.net':80
TCP:
Запросы HTTP GET:
- http://ch####osition.net/forum/search.php?em###################################
- http://th###number.net/forum/search.php?em###################################
- http://ch###number.net/forum/search.php?em###################################
- http://th####osition.net/forum/search.php?em###################################
- http://ch####artial.net/forum/search.php?em###################################
- http://th###strike.net/forum/search.php?em###################################
- http://ch###strike.net/forum/search.php?em###################################
- http://be####partial.net/forum/search.php?em###################################
- http://ri####position.net/forum/search.php?em###################################
- http://be####number.net/forum/search.php?em###################################
- http://ri####number.net/forum/search.php?em###################################
- http://be####position.net/forum/search.php?em###################################
- http://ri####partial.net/forum/search.php?em###################################
- http://be####strike.net/forum/search.php?em###################################
- http://ri####strike.net/forum/search.php?em###################################
- http://th####artial.net/forum/search.php?em###################################
- http://ef####position.net/forum/search.php?em###################################
- http://th####hnumber.net/forum/search.php?em###################################
- http://ef####number.net/forum/search.php?em###################################
- http://th####hposition.net/forum/search.php?em###################################
- http://ef####partial.net/forum/search.php?em###################################
- http://th####hstrike.net/forum/search.php?em###################################
- http://ef####strike.net/forum/search.php?em###################################
- http://su####partial.net/forum/search.php?em###################################
- http://wi####position.net/forum/search.php?em###################################
- http://su####number.net/forum/search.php?em###################################
- http://wi####number.net/forum/search.php?em###################################
- http://su####position.net/forum/search.php?em###################################
- http://wi####partial.net/forum/search.php?em###################################
- http://su####strike.net/forum/search.php?em###################################
- http://wi####strike.net/forum/search.php?em###################################
- http://li####partial.net/forum/search.php?em###################################
- http://wo###train.net/forum/search.php?em###################################
- http://re####erborrow.net/forum/search.php?em###################################
- http://wo###borrow.net/forum/search.php?em###################################
- http://re####ertrain.net/forum/search.php?em###################################
- http://wo####elight.net/forum/search.php?em###################################
- http://re#####relectricity.net/forum/search.php?em###################################
- http://wo#####ectricity.net/forum/search.php?em###################################
- http://in####sedelight.net/forum/search.php?em###################################
- http://fo###ttrain.net/forum/search.php?em###################################
- http://in####seborrow.net/forum/search.php?em###################################
- http://fo####borrow.net/forum/search.php?em###################################
- http://in####setrain.net/forum/search.php?em###################################
- http://fo####delight.net/forum/search.php?em###################################
- http://in#####eelectricity.net/forum/search.php?em###################################
- http://fo#####lectricity.net/forum/search.php?em###################################
- http://re####erdelight.net/forum/search.php?em###################################
- http://de####yposition.net/forum/search.php?em###################################
- http://li####number.net/forum/search.php?em###################################
- http://de####ynumber.net/forum/search.php?em###################################
- http://li####position.net/forum/search.php?em###################################
- http://de####ypartial.net/forum/search.php?em###################################
- http://li####strike.net/forum/search.php?em###################################
- http://de####ystrike.net/forum/search.php?em###################################
- http://hu####dpartial.net/forum/search.php?em###################################
- http://jo####yposition.net/forum/search.php?em###################################
- http://hu####dnumber.net/forum/search.php?em###################################
- http://jo####ynumber.net/forum/search.php?em###################################
- http://hu####dposition.net/forum/search.php?em###################################
- http://jo####ypartial.net/forum/search.php?em###################################
- http://hu####dstrike.net/forum/search.php?em###################################
- http://jo####ystrike.net/forum/search.php?em###################################
UDP:
- DNS ASK ch####osition.net
- DNS ASK th###number.net
- DNS ASK ch###number.net
- DNS ASK th####osition.net
- DNS ASK ch####artial.net
- DNS ASK th###strike.net
- DNS ASK ch###strike.net
- DNS ASK be####partial.net
- DNS ASK ri####position.net
- DNS ASK be####number.net
- DNS ASK ri####number.net
- DNS ASK be####position.net
- DNS ASK ri####partial.net
- DNS ASK be####strike.net
- DNS ASK ri####strike.net
- DNS ASK th####artial.net
- DNS ASK ef####position.net
- DNS ASK th####hnumber.net
- DNS ASK ef####number.net
- DNS ASK th####hposition.net
- DNS ASK ef####partial.net
- DNS ASK th####hstrike.net
- DNS ASK ef####strike.net
- DNS ASK su####partial.net
- DNS ASK wi####position.net
- DNS ASK su####number.net
- DNS ASK wi####number.net
- DNS ASK su####position.net
- DNS ASK wi####partial.net
- DNS ASK su####strike.net
- DNS ASK wi####strike.net
- DNS ASK li####partial.net
- DNS ASK wo###train.net
- DNS ASK re####erborrow.net
- DNS ASK wo###borrow.net
- DNS ASK re####ertrain.net
- DNS ASK wo####elight.net
- DNS ASK re#####relectricity.net
- DNS ASK wo#####ectricity.net
- DNS ASK in####sedelight.net
- DNS ASK fo###ttrain.net
- DNS ASK in####seborrow.net
- DNS ASK fo####borrow.net
- DNS ASK in####setrain.net
- DNS ASK fo####delight.net
- DNS ASK in#####eelectricity.net
- DNS ASK fo#####lectricity.net
- DNS ASK re####erdelight.net
- DNS ASK de####yposition.net
- DNS ASK li####number.net
- DNS ASK de####ynumber.net
- DNS ASK li####position.net
- DNS ASK de####ypartial.net
- DNS ASK li####strike.net
- DNS ASK de####ystrike.net
- DNS ASK hu####dpartial.net
- DNS ASK jo####yposition.net
- DNS ASK hu####dnumber.net
- DNS ASK jo####ynumber.net
- DNS ASK hu####dposition.net
- DNS ASK jo####ypartial.net
- DNS ASK hu####dstrike.net
- DNS ASK jo####ystrike.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
