Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Desktop Studio Interface Encryption' = 'C:\zaeyzrdllzgnpg\xdfheeu.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Propagation Fax Spooler] 'ImagePath' = 'C:\zaeyzrdllzgnpg\xdfheeu.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Propagation Fax Spooler] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\zaeyzrdllzgnpg\zfihgzmoeppl.exe' "c:\zaeyzrdllzgnpg\xdfheeu.exe"
- 'C:\zaeyzrdllzgnpg\xdfheeu.exe'
- 'C:\zaeyzrdllzgnpg\wa32gzzkhyyqy2.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\zaeyzrdllzgnpg\xdfheeu.exe
- C:\zaeyzrdllzgnpg\zfihgzmoeppl.exe
- C:\zaeyzrdllzgnpg\wa32gzzkhyyqy2.exe
- %WINDIR%\zaeyzrdllzgnpg\c4dlxyktf
- C:\zaeyzrdllzgnpg\c4dlxyktf
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\zaeyzrdllzgnpg\zfihgzmoeppl.exe
- C:\zaeyzrdllzgnpg\xdfheeu.exe
Удаляет следующие файлы:
- C:\zaeyzrdllzgnpg\wa32gzzkhyyqy2.exe
- %WINDIR%\zaeyzrdllzgnpg\c4dlxyktf
Подменяет следующие файлы:
- %WINDIR%\zaeyzrdllzgnpg\c4dlxyktf
Сетевая активность:
Подключается к:
- 'in####sewelcome.net':80
- 'fo####around.net':80
- 'in####searound.net':80
- 'ef####complete.net':80
- 'th####hcomplete.net':80
- 'fo####welcome.net':80
- 'fo###tproud.net':80
- 'wo####elcome.net':80
- 're####erwelcome.net':80
- 'wo###around.net':80
- 'in####seproud.net':80
- 'fo####complete.net':80
- 'in#####ecomplete.net':80
- 'th####hproud.net':80
- 'su####around.net':80
- 'wi###nproud.net':80
- 'su###rproud.net':80
- 'wi####welcome.net':80
- 'su####welcome.net':80
- 'wi####around.net':80
- 'wi####complete.net':80
- 'ef####around.net':80
- 'th####haround.net':80
- 'ef###tproud.net':80
- 'su####complete.net':80
- 'ef####welcome.net':80
- 'th####hwelcome.net':80
TCP:
Запросы HTTP GET:
- http://in####sewelcome.net/index.php
- http://fo####around.net/index.php
- http://in####searound.net/index.php
- http://ef####complete.net/index.php
- http://th####hcomplete.net/index.php
- http://fo####welcome.net/index.php
- http://fo###tproud.net/index.php
- http://wo####elcome.net/index.php
- http://re####erwelcome.net/index.php
- http://wo###around.net/index.php
- http://in####seproud.net/index.php
- http://fo####complete.net/index.php
- http://in#####ecomplete.net/index.php
- http://th####hproud.net/index.php
- http://su####around.net/index.php
- http://wi###nproud.net/index.php
- http://su###rproud.net/index.php
- http://wi####welcome.net/index.php
- http://su####welcome.net/index.php
- http://wi####around.net/index.php
- http://wi####complete.net/index.php
- http://ef####around.net/index.php
- http://th####haround.net/index.php
- http://ef###tproud.net/index.php
- http://su####complete.net/index.php
- http://ef####welcome.net/index.php
- http://th####hwelcome.net/index.php
UDP:
- DNS ASK fo####around.net
- DNS ASK in####searound.net
- DNS ASK fo###tproud.net
- DNS ASK in####sewelcome.net
- DNS ASK ef####complete.net
- DNS ASK th####hcomplete.net
- DNS ASK fo####welcome.net
- DNS ASK re####erwelcome.net
- DNS ASK wo###around.net
- DNS ASK re####eraround.net
- DNS ASK wo####elcome.net
- DNS ASK in####seproud.net
- DNS ASK fo####complete.net
- DNS ASK in#####ecomplete.net
- DNS ASK wi###nproud.net
- DNS ASK su###rproud.net
- DNS ASK wi####complete.net
- DNS ASK su####around.net
- DNS ASK wi####welcome.net
- DNS ASK su####welcome.net
- DNS ASK wi####around.net
- DNS ASK th####haround.net
- DNS ASK ef###tproud.net
- DNS ASK th####hproud.net
- DNS ASK ef####around.net
- DNS ASK su####complete.net
- DNS ASK ef####welcome.net
- DNS ASK th####hwelcome.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
