Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Office Defragmenter WebClient Client' = 'C:\bgbhxzm\cscbzdicpd.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Redirector Background IP Audio Driver] 'ImagePath' = 'C:\bgbhxzm\cscbzdicpd.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Redirector Background IP Audio Driver] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\bgbhxzm\cxhfsna.exe' "c:\bgbhxzm\cscbzdicpd.exe"
- 'C:\bgbhxzm\cscbzdicpd.exe'
- 'C:\bgbhxzm\zbmo3058snwxwoixdx.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\bgbhxzm\cscbzdicpd.exe
- C:\bgbhxzm\cxhfsna.exe
- C:\bgbhxzm\uodrlq5na
- %WINDIR%\bgbhxzm\dvbeza3
- C:\bgbhxzm\dvbeza3
- C:\bgbhxzm\zbmo3058snwxwoixdx.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\bgbhxzm\cxhfsna.exe
- C:\bgbhxzm\cscbzdicpd.exe
Удаляет следующие файлы:
- C:\bgbhxzm\zbmo3058snwxwoixdx.exe
- %WINDIR%\bgbhxzm\dvbeza3
Подменяет следующие файлы:
- %WINDIR%\bgbhxzm\dvbeza3
Сетевая активность:
Подключается к:
- 'wi###wspace.net':80
- 'pe####stravel.net':80
- 'wi####travel.net':80
- 'pe####sspace.net':80
- 'po####leyellow.net':80
- 'mo####inclose.net':80
- 'po####leclose.net':80
- 'pe####syellow.net':80
- 'su####tspace.net':80
- 'su####ttravel.net':80
- 'su####tyellow.net':80
- 'wi###rspace.net':80
- 'wi####yellow.net':80
- 'pe####sclose.net':80
- 'wi###wclose.net':80
- 'mo####inyellow.net':80
- 'mo###rspace.net':80
- 'si####travel.net':80
- 'mo####travel.net':80
- 'si###espace.net':80
- 'se####yellow.net':80
- 'se###aclose.net':80
- 'la###close.net':80
- 'si####yellow.net':80
- 'po####lespace.net':80
- 'mo####intravel.net':80
- 'po####letravel.net':80
- 'mo####inspace.net':80
- 'mo####yellow.net':80
- 'si###eclose.net':80
- 'mo###rclose.net':80
TCP:
Запросы HTTP GET:
- http://wi###wspace.net/index.php
- http://pe####stravel.net/index.php
- http://wi####travel.net/index.php
- http://pe####sspace.net/index.php
- http://po####leyellow.net/index.php
- http://mo####inclose.net/index.php
- http://po####leclose.net/index.php
- http://pe####syellow.net/index.php
- http://su####tspace.net/index.php
- http://su####ttravel.net/index.php
- http://su####tyellow.net/index.php
- http://wi###rspace.net/index.php
- http://wi####yellow.net/index.php
- http://pe####sclose.net/index.php
- http://wi###wclose.net/index.php
- http://mo####inyellow.net/index.php
- http://mo###rspace.net/index.php
- http://si####travel.net/index.php
- http://mo####travel.net/index.php
- http://si###espace.net/index.php
- http://se####yellow.net/index.php
- http://se###aclose.net/index.php
- http://la###close.net/index.php
- http://si####yellow.net/index.php
- http://po####lespace.net/index.php
- http://mo####intravel.net/index.php
- http://po####letravel.net/index.php
- http://mo####inspace.net/index.php
- http://mo####yellow.net/index.php
- http://si###eclose.net/index.php
- http://mo###rclose.net/index.php
UDP:
- DNS ASK pe####stravel.net
- DNS ASK wi###wspace.net
- DNS ASK pe####syellow.net
- DNS ASK wi####travel.net
- DNS ASK mo####inclose.net
- DNS ASK po####leyellow.net
- DNS ASK pe####sspace.net
- DNS ASK po####leclose.net
- DNS ASK su####ttravel.net
- DNS ASK su####tspace.net
- DNS ASK wi###rclose.net
- DNS ASK su####tyellow.net
- DNS ASK pe####sclose.net
- DNS ASK wi####yellow.net
- DNS ASK wi###rspace.net
- DNS ASK wi###wclose.net
- DNS ASK mo####inyellow.net
- DNS ASK mo###rspace.net
- DNS ASK si###espace.net
- DNS ASK mo####travel.net
- DNS ASK si####travel.net
- DNS ASK la###yellow.net
- DNS ASK se####yellow.net
- DNS ASK la###close.net
- DNS ASK se###aclose.net
- DNS ASK po####lespace.net
- DNS ASK mo####inspace.net
- DNS ASK po####letravel.net
- DNS ASK mo####intravel.net
- DNS ASK mo####yellow.net
- DNS ASK si####yellow.net
- DNS ASK mo###rclose.net
- DNS ASK si###eclose.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
