Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'AutoConnect Defender List Grouping Human' = 'C:\kjfdxpwjpk\djrjrku.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Ordering Volume CNG System] 'ImagePath' = 'C:\kjfdxpwjpk\djrjrku.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Ordering Volume CNG System] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\kjfdxpwjpk\ggitsvto.exe' "c:\kjfdxpwjpk\djrjrku.exe"
- 'C:\kjfdxpwjpk\djrjrku.exe'
- 'C:\kjfdxpwjpk\ias3bsxoesdgcqa4.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\kjfdxpwjpk\djrjrku.exe
- C:\kjfdxpwjpk\ggitsvto.exe
- C:\kjfdxpwjpk\ias3bsxoesdgcqa4.exe
- %WINDIR%\kjfdxpwjpk\ztkgpbs
- C:\kjfdxpwjpk\ztkgpbs
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\kjfdxpwjpk\ggitsvto.exe
- C:\kjfdxpwjpk\djrjrku.exe
Удаляет следующие файлы:
- C:\kjfdxpwjpk\ias3bsxoesdgcqa4.exe
- %WINDIR%\kjfdxpwjpk\ztkgpbs
Подменяет следующие файлы:
- %WINDIR%\kjfdxpwjpk\ztkgpbs
Сетевая активность:
Подключается к:
- 'le###yellow.net':80
- 'fi####yellow.net':80
- 'fi###hclose.net':80
- 'sw###space.net':80
- 'le###close.net':80
- 'fi###hspace.net':80
- 'su####tclose.net':80
- 'le###space.net':80
- 'le###travel.net':80
- 'fi####travel.net':80
- 'pr####lyspace.net':80
- 'se####lspace.net':80
- 'pr####lyclose.net':80
- 'ma####alspace.net':80
- 'ma####altravel.net':80
- 'se####ltravel.net':80
- 'pr####lytravel.net':80
- 'sw###travel.net':80
- 'sw###yellow.net':80
- 'sw###close.net':80
- 'pr####lyyellow.net':80
- 'wi###rclose.net':80
- 'po####leyellow.net':80
- 'mo####inyellow.net':80
- 'mo####inclose.net':80
- 'pe####sspace.net':80
- 'po####leclose.net':80
- 'mo####inspace.net':80
- 'mo###rclose.net':80
- 'po####lespace.net':80
- 'po####letravel.net':80
- 'mo####intravel.net':80
- 'wi###wspace.net':80
- 'wi###rspace.net':80
- 'wi###wclose.net':80
- 'su####tspace.net':80
- 'su####tyellow.net':80
- 'su####ttravel.net':80
- 'wi####travel.net':80
- 'pe####stravel.net':80
- 'pe####syellow.net':80
- 'pe####sclose.net':80
- 'wi####yellow.net':80
TCP:
Запросы HTTP GET:
- http://le###yellow.net/index.php
- http://fi####yellow.net/index.php
- http://fi###hclose.net/index.php
- http://sw###space.net/index.php
- http://le###close.net/index.php
- http://fi###hspace.net/index.php
- http://su####tclose.net/index.php
- http://le###space.net/index.php
- http://le###travel.net/index.php
- http://fi####travel.net/index.php
- http://pr####lyspace.net/index.php
- http://se####lspace.net/index.php
- http://pr####lyclose.net/index.php
- http://ma####alspace.net/index.php
- http://ma####altravel.net/index.php
- http://se####ltravel.net/index.php
- http://pr####lytravel.net/index.php
- http://sw###travel.net/index.php
- http://sw###yellow.net/index.php
- http://sw###close.net/index.php
- http://pr####lyyellow.net/index.php
- http://wi###rclose.net/index.php
- http://po####leyellow.net/index.php
- http://mo####inyellow.net/index.php
- http://mo####inclose.net/index.php
- http://pe####sspace.net/index.php
- http://po####leclose.net/index.php
- http://mo####inspace.net/index.php
- http://mo###rclose.net/index.php
- http://po####lespace.net/index.php
- http://po####letravel.net/index.php
- http://mo####intravel.net/index.php
- http://wi###wspace.net/index.php
- http://wi###rspace.net/index.php
- http://wi###wclose.net/index.php
- http://su####tspace.net/index.php
- http://su####tyellow.net/index.php
- http://su####ttravel.net/index.php
- http://wi####travel.net/index.php
- http://pe####stravel.net/index.php
- http://pe####syellow.net/index.php
- http://pe####sclose.net/index.php
- http://wi####yellow.net/index.php
UDP:
- DNS ASK fi###hclose.net
- DNS ASK le###yellow.net
- DNS ASK le###close.net
- DNS ASK pr####lyspace.net
- DNS ASK sw###space.net
- DNS ASK fi####yellow.net
- DNS ASK fi###hspace.net
- DNS ASK su####tclose.net
- DNS ASK le###space.net
- DNS ASK le###travel.net
- DNS ASK fi####travel.net
- DNS ASK ma####alspace.net
- DNS ASK se####lspace.net
- DNS ASK se####ltravel.net
- DNS ASK se####lyellow.net
- DNS ASK ma####altravel.net
- DNS ASK pr####lyclose.net
- DNS ASK pr####lytravel.net
- DNS ASK sw###travel.net
- DNS ASK sw###yellow.net
- DNS ASK sw###close.net
- DNS ASK pr####lyyellow.net
- DNS ASK mo####inclose.net
- DNS ASK po####leyellow.net
- DNS ASK po####leclose.net
- DNS ASK wi###wspace.net
- DNS ASK pe####sspace.net
- DNS ASK mo####inyellow.net
- DNS ASK mo####inspace.net
- DNS ASK mo###rclose.net
- DNS ASK po####lespace.net
- DNS ASK po####letravel.net
- DNS ASK mo####intravel.net
- DNS ASK su####tspace.net
- DNS ASK wi###rspace.net
- DNS ASK su####ttravel.net
- DNS ASK wi###rclose.net
- DNS ASK su####tyellow.net
- DNS ASK wi###wclose.net
- DNS ASK wi####travel.net
- DNS ASK pe####stravel.net
- DNS ASK pe####syellow.net
- DNS ASK pe####sclose.net
- DNS ASK wi####yellow.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
