Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Machine VC Engine TP BranchCache Extender' = 'C:\udzsjrsbhszp\xisbakf.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Call Log Name Power DHCP Machine Themes] 'ImagePath' = 'C:\udzsjrsbhszp\xisbakf.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Call Log Name Power DHCP Machine Themes] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\udzsjrsbhszp\nylvymymjqcv.exe' "c:\udzsjrsbhszp\xisbakf.exe"
- 'C:\udzsjrsbhszp\xisbakf.exe'
- 'C:\udzsjrsbhszp\gpbn2r9clpgg2vwcw.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\udzsjrsbhszp\xisbakf.exe
- C:\udzsjrsbhszp\nylvymymjqcv.exe
- C:\udzsjrsbhszp\fgxswx0uv7ap
- %WINDIR%\udzsjrsbhszp\cwgzyv
- C:\udzsjrsbhszp\cwgzyv
- C:\udzsjrsbhszp\gpbn2r9clpgg2vwcw.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\udzsjrsbhszp\nylvymymjqcv.exe
- C:\udzsjrsbhszp\xisbakf.exe
Удаляет следующие файлы:
- C:\udzsjrsbhszp\gpbn2r9clpgg2vwcw.exe
- %WINDIR%\udzsjrsbhszp\cwgzyv
Подменяет следующие файлы:
- %WINDIR%\udzsjrsbhszp\cwgzyv
Сетевая активность:
Подключается к:
- 're####erproblem.net':80
- 'wo####roblem.net':80
- 're####ermodern.net':80
- 'wo###modern.net':80
- 're####eranimal.net':80
- 'wo###escape.net':80
- 'in####semodern.net':80
- 'wo###animal.net':80
- 're####erescape.net':80
- 'jo####ysilver.net':80
- 'hu####dlabor.net':80
- 'jo####ylabor.net':80
- 'li####silver.net':80
- 'de####ysilver.net':80
- 'hu####dvalley.net':80
- 'jo####ysister.net':80
- 'hu####dsilver.net':80
- 'jo####yvalley.net':80
- 'hu####dsister.net':80
- 'ef####animal.net':80
- 'th####hescape.net':80
- 'ef####problem.net':80
- 'th####hanimal.net':80
- 'ef####escape.net':80
- 'su####problem.net':80
- 'su####animal.net':80
- 'su####modern.net':80
- 'wi####modern.net':80
- 'th####hproblem.net':80
- 'fo####problem.net':80
- 'in####seanimal.net':80
- 'fo####modern.net':80
- 'in####seproblem.net':80
- 'fo####animal.net':80
- 'th####hmodern.net':80
- 'ef####modern.net':80
- 'in####seescape.net':80
- 'fo####escape.net':80
TCP:
Запросы HTTP GET:
- http://re####erproblem.net/index.php?me########
- http://wo####roblem.net/index.php?me########
- http://re####ermodern.net/index.php?me########
- http://wo###modern.net/index.php?me########
- http://re####eranimal.net/index.php?me########
- http://wo###escape.net/index.php?me########
- http://in####semodern.net/index.php?me########
- http://wo###animal.net/index.php?me########
- http://re####erescape.net/index.php?me########
- http://jo####ysilver.net/index.php?me########
- http://hu####dlabor.net/index.php?me########
- http://jo####ylabor.net/index.php?me########
- http://li####silver.net/index.php?me########
- http://de####ysilver.net/index.php?me########
- http://hu####dvalley.net/index.php?me########
- http://jo####ysister.net/index.php?me########
- http://hu####dsilver.net/index.php?me########
- http://jo####yvalley.net/index.php?me########
- http://hu####dsister.net/index.php?me########
- http://ef####animal.net/index.php?me########
- http://th####hescape.net/index.php?me########
- http://ef####problem.net/index.php?me########
- http://th####hanimal.net/index.php?me########
- http://ef####escape.net/index.php?me########
- http://su####problem.net/index.php?me########
- http://su####animal.net/index.php?me########
- http://su####modern.net/index.php?me########
- http://wi####modern.net/index.php?me########
- http://th####hproblem.net/index.php?me########
- http://fo####problem.net/index.php?me########
- http://in####seanimal.net/index.php?me########
- http://fo####modern.net/index.php?me########
- http://in####seproblem.net/index.php?me########
- http://fo####animal.net/index.php?me########
- http://th####hmodern.net/index.php?me########
- http://ef####modern.net/index.php?me########
- http://in####seescape.net/index.php?me########
- http://fo####escape.net/index.php?me########
UDP:
- DNS ASK re####erproblem.net
- DNS ASK wo####roblem.net
- DNS ASK wo###modern.net
- DNS ASK jo####ysilver.net
- DNS ASK re####ermodern.net
- DNS ASK wo###escape.net
- DNS ASK in####semodern.net
- DNS ASK re####erescape.net
- DNS ASK re####eranimal.net
- DNS ASK wo###animal.net
- DNS ASK hu####dlabor.net
- DNS ASK jo####ylabor.net
- DNS ASK de####ysilver.net
- DNS ASK de####ysister.net
- DNS ASK li####silver.net
- DNS ASK jo####ysister.net
- DNS ASK hu####dsilver.net
- DNS ASK hu####dsister.net
- DNS ASK hu####dvalley.net
- DNS ASK jo####yvalley.net
- DNS ASK th####hescape.net
- DNS ASK ef####escape.net
- DNS ASK ef####animal.net
- DNS ASK ef####problem.net
- DNS ASK th####hanimal.net
- DNS ASK wi####problem.net
- DNS ASK su####animal.net
- DNS ASK su####problem.net
- DNS ASK su####modern.net
- DNS ASK wi####modern.net
- DNS ASK in####seanimal.net
- DNS ASK fo####animal.net
- DNS ASK fo####problem.net
- DNS ASK fo####modern.net
- DNS ASK in####seproblem.net
- DNS ASK ef####modern.net
- DNS ASK th####hproblem.net
- DNS ASK th####hmodern.net
- DNS ASK in####seescape.net
- DNS ASK fo####escape.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
