Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SPP Netlogon Play AutoConfig Font Certificate' = '%APPDATA%\wohadenruxryhlw\kzdjuxkcyy.exe'
Вредоносные функции:
Запускает на исполнение:
- '%APPDATA%\wohadenruxryhlw\brzbcwmfhg.exe' "%APPDATA%\wohadenruxryhlw\kzdjuxkcyy.exe"
- '%APPDATA%\wohadenruxryhlw\kzdjuxkcyy.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\wohadenruxryhlw\kzdjuxkcyy.fmarr
- %APPDATA%\wohadenruxryhlw\brzbcwmfhg.exe
- %APPDATA%\wohadenruxryhlw\kzdjuxkcyy.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\wohadenruxryhlw\kzdjuxkcyy.exe
Сетевая активность:
Подключается к:
- 'do###fence.net':80
- 'ag####tfence.net':80
- 'do###guard.net':80
- 'ni####traight.net':80
- 'de####airplane.net':80
- 'ni####irplane.net':80
- 'ag####tguard.net':80
- 'ag####tairplane.net':80
- 'se####banker.net':80
- 'qu###banker.net':80
- 'do####traight.net':80
- 'ag####tstraight.net':80
- 'do####irplane.net':80
- 'la###guard.net':80
- 'ca####nstraight.net':80
- 'la####traight.net':80
- 'ca####nfence.net':80
- 'la###fence.net':80
- 'ca####nguard.net':80
- 'ca####nairplane.net':80
- 'de###eguard.net':80
- 'ni###guard.net':80
- 'de####straight.net':80
- 'la####irplane.net':80
- 'de###efence.net':80
- 'ni###fence.net':80
- 'se####success.net':80
- 'be####success.net':80
- 'ga####spring.net':80
- 'be####spring.net':80
- 'ga####banker.net':80
- 'be####banker.net':80
- 'ga####success.net':80
- 'ga###rfound.net':80
- 'tr####uccess.net':80
- 'st####success.net':80
- 'tr###spring.net':80
- 'be###rfound.net':80
- 'tr###banker.net':80
- 'st####banker.net':80
- 'se###nfound.net':80
- 'qu###found.net':80
- 'br###banker.net':80
- 'qu####uccess.net':80
- 'se####spring.net':80
- 'qu###spring.net':80
- 'fl###banker.net':80
- 'fl###spring.net':80
- 'br###found.net':80
- 'fl###found.net':80
- 'br####uccess.net':80
- 'fl####uccess.net':80
- 'br###spring.net':80
TCP:
Запросы HTTP GET:
- http://do###fence.net/index.php?em##########################################
- http://ag####tfence.net/index.php?em##########################################
- http://do###guard.net/index.php?em##########################################
- http://ni####traight.net/index.php?em##########################################
- http://de####airplane.net/index.php?em##########################################
- http://ni####irplane.net/index.php?em##########################################
- http://ag####tguard.net/index.php?em##########################################
- http://ag####tairplane.net/index.php?em##########################################
- http://se####banker.net/index.php?em##########################################
- http://qu###banker.net/index.php?em##########################################
- http://do####traight.net/index.php?em##########################################
- http://ag####tstraight.net/index.php?em##########################################
- http://do####irplane.net/index.php?em##########################################
- http://la###guard.net/index.php?em##########################################
- http://ca####nstraight.net/index.php?em##########################################
- http://la####traight.net/index.php?em##########################################
- http://ca####nfence.net/index.php?em##########################################
- http://la###fence.net/index.php?em##########################################
- http://ca####nguard.net/index.php?em##########################################
- http://ca####nairplane.net/index.php?em##########################################
- http://de###eguard.net/index.php?em##########################################
- http://ni###guard.net/index.php?em##########################################
- http://de####straight.net/index.php?em##########################################
- http://la####irplane.net/index.php?em##########################################
- http://de###efence.net/index.php?em##########################################
- http://ni###fence.net/index.php?em##########################################
- http://se####success.net/index.php?em##########################################
- http://be####success.net/index.php?em##########################################
- http://ga####spring.net/index.php?em##########################################
- http://be####spring.net/index.php?em##########################################
- http://ga####banker.net/index.php?em##########################################
- http://be####banker.net/index.php?em##########################################
- http://ga####success.net/index.php?em##########################################
- http://ga###rfound.net/index.php?em##########################################
- http://tr####uccess.net/index.php?em##########################################
- http://st####success.net/index.php?em##########################################
- http://tr###spring.net/index.php?em##########################################
- http://be###rfound.net/index.php?em##########################################
- http://tr###banker.net/index.php?em##########################################
- http://st####banker.net/index.php?em##########################################
- http://se###nfound.net/index.php?em##########################################
- http://qu###found.net/index.php?em##########################################
- http://br###banker.net/index.php?em##########################################
- http://qu####uccess.net/index.php?em##########################################
- http://se####spring.net/index.php?em##########################################
- http://qu###spring.net/index.php?em##########################################
- http://fl###banker.net/index.php?em##########################################
- http://fl###spring.net/index.php?em##########################################
- http://br###found.net/index.php?em##########################################
- http://fl###found.net/index.php?em##########################################
- http://br####uccess.net/index.php?em##########################################
- http://fl####uccess.net/index.php?em##########################################
- http://br###spring.net/index.php?em##########################################
UDP:
- DNS ASK do###fence.net
- DNS ASK ag####tfence.net
- DNS ASK do###guard.net
- DNS ASK ni####traight.net
- DNS ASK de####airplane.net
- DNS ASK ni####irplane.net
- DNS ASK ag####tguard.net
- DNS ASK ag####tairplane.net
- DNS ASK se####banker.net
- DNS ASK qu###banker.net
- DNS ASK do####traight.net
- DNS ASK ag####tstraight.net
- DNS ASK do####irplane.net
- DNS ASK de####straight.net
- DNS ASK ca####nguard.net
- DNS ASK la###guard.net
- DNS ASK ca####nstraight.net
- DNS ASK re####airplane.net
- DNS ASK ca####nfence.net
- DNS ASK la###fence.net
- DNS ASK la####traight.net
- DNS ASK ni###fence.net
- DNS ASK de###eguard.net
- DNS ASK ni###guard.net
- DNS ASK ca####nairplane.net
- DNS ASK la####irplane.net
- DNS ASK de###efence.net
- DNS ASK be####success.net
- DNS ASK ga####spring.net
- DNS ASK be####spring.net
- DNS ASK ga####banker.net
- DNS ASK be####banker.net
- DNS ASK ga####success.net
- DNS ASK ga###rfound.net
- DNS ASK tr####uccess.net
- DNS ASK st####success.net
- DNS ASK tr###spring.net
- DNS ASK be###rfound.net
- DNS ASK tr###banker.net
- DNS ASK st####banker.net
- DNS ASK fl###found.net
- DNS ASK qu###spring.net
- DNS ASK se###nfound.net
- DNS ASK qu###found.net
- DNS ASK se####success.net
- DNS ASK qu####uccess.net
- DNS ASK se####spring.net
- DNS ASK br###banker.net
- DNS ASK br###spring.net
- DNS ASK fl###spring.net
- DNS ASK br###found.net
- DNS ASK fl###banker.net
- DNS ASK br####uccess.net
- DNS ASK fl####uccess.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
