Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Background Volume Sharing WMI Provider Control' = '%APPDATA%\lunptqyys\diebicccfiuk.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\lunptqyys\ysnxlxgjegty.exe' "%APPDATA%\lunptqyys\diebicccfiuk.exe"
- '%APPDATA%\lunptqyys\diebicccfiuk.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\lunptqyys\diebicccfiuk.oh
- %APPDATA%\lunptqyys\ysnxlxgjegty.exe
- %APPDATA%\lunptqyys\diebicccfiuk.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\lunptqyys\ysnxlxgjegty.exe
- %APPDATA%\lunptqyys\diebicccfiuk.exe
Сетевая активность:
Подключается к:
- 'ex###twrite.net':80
- 'be####ewrite.net':80
- 'ex###tniece.net':80
- 'be####eniece.net':80
- 'pe###nspeak.net':80
- 'ma####espeak.net':80
- 'ex####oclock.net':80
- 'be####eoclock.net':80
- 'ei####direct.net':80
- 'en####hdirect.net':80
- 'ei####action.net':80
- 'en####haction.net':80
- 'ex###tspeak.net':80
- 'be####espeak.net':80
- 'ei####brought.net':80
- 'en####hbrought.net':80
- 'pe###nniece.net':80
- 'fo####nwrite.net':80
- 'su####oclock.net':80
- 'fo####nniece.net':80
- 'su###nwrite.net':80
- 'ri###speak.net':80
- 'wh####rniece.net':80
- 'fo####noclock.net':80
- 'wh####rspeak.net':80
- 'ma####ewrite.net':80
- 'pe####oclock.net':80
- 'ma####eniece.net':80
- 'pe###nwrite.net':80
- 'fo####nspeak.net':80
- 'su###nniece.net':80
- 'ma####eoclock.net':80
- 'su###nspeak.net':80
- 'en####hmethod.net':80
- 'fi####action.net':80
- 'th####action.net':80
- 'fi####method.net':80
- 'th####method.net':80
- 'fi####brought.net':80
- 'th####brought.net':80
- 'fi####direct.net':80
- 'th####direct.net':80
- 'wh####raction.net':80
- 'ri###action.net':80
- 'wh####rmethod.net':80
- 'ri###method.net':80
- 'wh####rbrought.net':80
- 'ri####rought.net':80
- 'wh####rdirect.net':80
- 'ri###direct.net':80
- 'pi####emethod.net':80
- 'fa####action.net':80
- 'ch####endirect.net':80
- 'fa####method.net':80
- 'ch####enaction.net':80
- 'fa####brought.net':80
- 'ei####method.net':80
- 'fa####direct.net':80
- 'ch####enbrought.net':80
- 'ci####tteaction.net':80
- 'pi####edirect.net':80
- 'ci####ttemethod.net':80
- 'pi####eaction.net':80
- 'ci#####tebrought.net':80
- 'ch####enmethod.net':80
- 'ci####ttedirect.net':80
- 'pi####ebrought.net':80
TCP:
Запросы HTTP GET:
- http://ex###twrite.net/forum/search.php?em######################################
- http://be####ewrite.net/forum/search.php?em######################################
- http://ex###tniece.net/forum/search.php?em######################################
- http://be####eniece.net/forum/search.php?em######################################
- http://pe###nspeak.net/forum/search.php?em######################################
- http://ma####espeak.net/forum/search.php?em######################################
- http://ex####oclock.net/forum/search.php?em######################################
- http://be####eoclock.net/forum/search.php?em######################################
- http://ei####direct.net/forum/search.php?em######################################
- http://en####hdirect.net/forum/search.php?em######################################
- http://ei####action.net/forum/search.php?em######################################
- http://en####haction.net/forum/search.php?em######################################
- http://ex###tspeak.net/forum/search.php?em######################################
- http://be####espeak.net/forum/search.php?em######################################
- http://ei####brought.net/forum/search.php?em######################################
- http://en####hbrought.net/forum/search.php?em######################################
- http://pe###nniece.net/forum/search.php?em######################################
- http://fo####nwrite.net/forum/search.php?em######################################
- http://su####oclock.net/forum/search.php?em######################################
- http://fo####nniece.net/forum/search.php?em######################################
- http://su###nwrite.net/forum/search.php?em######################################
- http://ri###speak.net/forum/search.php?em######################################
- http://wh####rniece.net/forum/search.php?em######################################
- http://fo####noclock.net/forum/search.php?em######################################
- http://wh####rspeak.net/forum/search.php?em######################################
- http://ma####ewrite.net/forum/search.php?em######################################
- http://pe####oclock.net/forum/search.php?em######################################
- http://ma####eniece.net/forum/search.php?em######################################
- http://pe###nwrite.net/forum/search.php?em######################################
- http://fo####nspeak.net/forum/search.php?em######################################
- http://su###nniece.net/forum/search.php?em######################################
- http://ma####eoclock.net/forum/search.php?em######################################
- http://su###nspeak.net/forum/search.php?em######################################
- http://en####hmethod.net/forum/search.php?em######################################
- http://fi####action.net/forum/search.php?em######################################
- http://th####action.net/forum/search.php?em######################################
- http://fi####method.net/forum/search.php?em######################################
- http://th####method.net/forum/search.php?em######################################
- http://fi####brought.net/forum/search.php?em######################################
- http://th####brought.net/forum/search.php?em######################################
- http://fi####direct.net/forum/search.php?em######################################
- http://th####direct.net/forum/search.php?em######################################
- http://wh####raction.net/forum/search.php?em######################################
- http://ri###action.net/forum/search.php?em######################################
- http://wh####rmethod.net/forum/search.php?em######################################
- http://ri###method.net/forum/search.php?em######################################
- http://wh####rbrought.net/forum/search.php?em######################################
- http://ri####rought.net/forum/search.php?em######################################
- http://wh####rdirect.net/forum/search.php?em######################################
- http://ri###direct.net/forum/search.php?em######################################
- http://pi####emethod.net/forum/search.php?em######################################
- http://fa####action.net/forum/search.php?em######################################
- http://ch####endirect.net/forum/search.php?em######################################
- http://fa####method.net/forum/search.php?em######################################
- http://ch####enaction.net/forum/search.php?em######################################
- http://fa####brought.net/forum/search.php?em######################################
- http://ei####method.net/forum/search.php?em######################################
- http://fa####direct.net/forum/search.php?em######################################
- http://ch####enbrought.net/forum/search.php?em######################################
- http://ci####tteaction.net/forum/search.php?em######################################
- http://pi####edirect.net/forum/search.php?em######################################
- http://ci####ttemethod.net/forum/search.php?em######################################
- http://pi####eaction.net/forum/search.php?em######################################
- http://ci#####tebrought.net/forum/search.php?em######################################
- http://ch####enmethod.net/forum/search.php?em######################################
- http://ci####ttedirect.net/forum/search.php?em######################################
- http://pi####ebrought.net/forum/search.php?em######################################
UDP:
- DNS ASK be####ewrite.net
- DNS ASK ex####oclock.net
- DNS ASK be####eniece.net
- DNS ASK ex###twrite.net
- DNS ASK ma####espeak.net
- DNS ASK pe###nniece.net
- DNS ASK be####eoclock.net
- DNS ASK pe###nspeak.net
- DNS ASK ex###tniece.net
- DNS ASK ei####direct.net
- DNS ASK en####hdirect.net
- DNS ASK ei####action.net
- DNS ASK en####haction.net
- DNS ASK ex###tspeak.net
- DNS ASK be####espeak.net
- DNS ASK ei####brought.net
- DNS ASK en####hbrought.net
- DNS ASK su####oclock.net
- DNS ASK fo####noclock.net
- DNS ASK su###nwrite.net
- DNS ASK fo####nwrite.net
- DNS ASK wh####rniece.net
- DNS ASK ri###niece.net
- DNS ASK wh####rspeak.net
- DNS ASK ri###speak.net
- DNS ASK fo####nniece.net
- DNS ASK ma####ewrite.net
- DNS ASK pe####oclock.net
- DNS ASK ma####eniece.net
- DNS ASK pe###nwrite.net
- DNS ASK fo####nspeak.net
- DNS ASK su###nniece.net
- DNS ASK ma####eoclock.net
- DNS ASK su###nspeak.net
- DNS ASK th####action.net
- DNS ASK fi####direct.net
- DNS ASK th####method.net
- DNS ASK fi####action.net
- DNS ASK th####brought.net
- DNS ASK pi####emethod.net
- DNS ASK th####direct.net
- DNS ASK fi####brought.net
- DNS ASK fi####method.net
- DNS ASK wh####raction.net
- DNS ASK ri###action.net
- DNS ASK wh####rmethod.net
- DNS ASK ri###method.net
- DNS ASK wh####rbrought.net
- DNS ASK ri####rought.net
- DNS ASK wh####rdirect.net
- DNS ASK ri###direct.net
- DNS ASK ch####endirect.net
- DNS ASK fa####direct.net
- DNS ASK ch####enaction.net
- DNS ASK fa####action.net
- DNS ASK ei####method.net
- DNS ASK en####hmethod.net
- DNS ASK ch####enbrought.net
- DNS ASK fa####brought.net
- DNS ASK fa####method.net
- DNS ASK ci####tteaction.net
- DNS ASK pi####edirect.net
- DNS ASK ci####ttemethod.net
- DNS ASK pi####eaction.net
- DNS ASK ci#####tebrought.net
- DNS ASK ch####enmethod.net
- DNS ASK ci####ttedirect.net
- DNS ASK pi####ebrought.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
