Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Themes Profile Presentation Host' = 'C:\vluuzhvoaflpvxb\mudzjfpyr.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Location Information Launcher File] 'ImagePath' = 'C:\vluuzhvoaflpvxb\mudzjfpyr.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Location Information Launcher File] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\vluuzhvoaflpvxb\jqgyjwuv.exe' "c:\vluuzhvoaflpvxb\mudzjfpyr.exe"
- 'C:\vluuzhvoaflpvxb\mudzjfpyr.exe'
- 'C:\vluuzhvoaflpvxb\elmtn2mrgsltjxqoreynp.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\vluuzhvoaflpvxb\mudzjfpyr.exe
- C:\vluuzhvoaflpvxb\jqgyjwuv.exe
- C:\vluuzhvoaflpvxb\elmtn2mrgsltjxqoreynp.exe
- %WINDIR%\vluuzhvoaflpvxb\gxmrgfkhl6mq
- C:\vluuzhvoaflpvxb\gxmrgfkhl6mq
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\vluuzhvoaflpvxb\jqgyjwuv.exe
- C:\vluuzhvoaflpvxb\mudzjfpyr.exe
Удаляет следующие файлы:
- C:\vluuzhvoaflpvxb\elmtn2mrgsltjxqoreynp.exe
- %WINDIR%\vluuzhvoaflpvxb\gxmrgfkhl6mq
Подменяет следующие файлы:
- %WINDIR%\vluuzhvoaflpvxb\gxmrgfkhl6mq
Сетевая активность:
Подключается к:
- 'pe####million.net':80
- 'ma####epleasure.net':80
- 'ma####emillion.net':80
- 'ma####ewhite.net':80
- 'pe###nwhite.net':80
- 'be####ewhite.net':80
- 'ex###twhite.net':80
- 'pe####toward.net':80
- 'pe####pleasure.net':80
- 'ma####etoward.net':80
- 'su###nwhite.net':80
- 'fo####nmillion.net':80
- 'fo####nwhite.net':80
- 'ri###toward.net':80
- 'wh####rtoward.net':80
- 'fo####ntoward.net':80
- 'su####toward.net':80
- 'su####pleasure.net':80
- 'su####million.net':80
- 'fo####npleasure.net':80
- 'be####emillion.net':80
- 'fa####garden.net':80
- 'ch####engarden.net':80
- 'ei####market.net':80
- 'ei####report.net':80
- 'en####hmarket.net':80
- 'fa####market.net':80
- 'ch####enmarket.net':80
- 'fa####report.net':80
- 'fa####beauty.net':80
- 'ch####enbeauty.net':80
- 'be####etoward.net':80
- 'ex####toward.net':80
- 'ex####pleasure.net':80
- 'ex####million.net':80
- 'be####epleasure.net':80
- 'ei####beauty.net':80
- 'en####hreport.net':80
- 'en####hbeauty.net':80
- 'en####hgarden.net':80
- 'ei####garden.net':80
TCP:
Запросы HTTP GET:
- http://pe####million.net/index.php
- http://ma####epleasure.net/index.php
- http://ma####emillion.net/index.php
- http://ma####ewhite.net/index.php
- http://pe###nwhite.net/index.php
- http://be####ewhite.net/index.php
- http://ex###twhite.net/index.php
- http://pe####toward.net/index.php
- http://pe####pleasure.net/index.php
- http://ma####etoward.net/index.php
- http://su###nwhite.net/index.php
- http://fo####nmillion.net/index.php
- http://fo####nwhite.net/index.php
- http://ri###toward.net/index.php
- http://wh####rtoward.net/index.php
- http://fo####ntoward.net/index.php
- http://su####toward.net/index.php
- http://su####pleasure.net/index.php
- http://su####million.net/index.php
- http://fo####npleasure.net/index.php
- http://be####emillion.net/index.php
- http://fa####garden.net/index.php
- http://ch####engarden.net/index.php
- http://ei####market.net/index.php
- http://ei####report.net/index.php
- http://en####hmarket.net/index.php
- http://fa####market.net/index.php
- http://ch####enmarket.net/index.php
- http://fa####report.net/index.php
- http://fa####beauty.net/index.php
- http://ch####enbeauty.net/index.php
- http://be####etoward.net/index.php
- http://ex####toward.net/index.php
- http://ex####pleasure.net/index.php
- http://ex####million.net/index.php
- http://be####epleasure.net/index.php
- http://ei####beauty.net/index.php
- http://en####hreport.net/index.php
- http://en####hbeauty.net/index.php
- http://en####hgarden.net/index.php
- http://ei####garden.net/index.php
UDP:
- DNS ASK pe####million.net
- DNS ASK ma####epleasure.net
- DNS ASK ma####emillion.net
- DNS ASK ma####ewhite.net
- DNS ASK pe###nwhite.net
- DNS ASK be####ewhite.net
- DNS ASK ex###twhite.net
- DNS ASK pe####toward.net
- DNS ASK pe####pleasure.net
- DNS ASK ma####etoward.net
- DNS ASK su####toward.net
- DNS ASK fo####nwhite.net
- DNS ASK su###nwhite.net
- DNS ASK wh####rtoward.net
- DNS ASK wh####rpleasure.net
- DNS ASK ri###toward.net
- DNS ASK su####pleasure.net
- DNS ASK fo####ntoward.net
- DNS ASK fo####npleasure.net
- DNS ASK fo####nmillion.net
- DNS ASK su####million.net
- DNS ASK be####emillion.net
- DNS ASK ch####engarden.net
- DNS ASK fa####beauty.net
- DNS ASK fa####garden.net
- DNS ASK en####hmarket.net
- DNS ASK ei####market.net
- DNS ASK fa####market.net
- DNS ASK ch####enmarket.net
- DNS ASK ch####enreport.net
- DNS ASK ch####enbeauty.net
- DNS ASK fa####report.net
- DNS ASK ei####report.net
- DNS ASK be####etoward.net
- DNS ASK ex####toward.net
- DNS ASK ex####pleasure.net
- DNS ASK ex####million.net
- DNS ASK be####epleasure.net
- DNS ASK ei####beauty.net
- DNS ASK en####hreport.net
- DNS ASK en####hbeauty.net
- DNS ASK en####hgarden.net
- DNS ASK ei####garden.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
