Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Removal CardSpace Locator Bus Netlogon' = '%APPDATA%\kcqjcuvfcr\iizpebgw.exe'
Вредоносные функции:
Запускает на исполнение:
- '%APPDATA%\kcqjcuvfcr\zdgofvz.exe' "%APPDATA%\kcqjcuvfcr\iizpebgw.exe"
- '%APPDATA%\kcqjcuvfcr\iizpebgw.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\kcqjcuvfcr\iizpebgw.hnhka
- %APPDATA%\kcqjcuvfcr\zdgofvz.exe
- %APPDATA%\kcqjcuvfcr\iizpebgw.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\kcqjcuvfcr\iizpebgw.exe
Сетевая активность:
Подключается к:
- 'jo####ysurprise.net':80
- 'hu####dsurprise.net':80
- 'wo####ountry.net':80
- 're####ercountry.net':80
- 'jo####ybeside.net':80
- 'hu####dletter.net':80
- 'jo#####different.net':80
- 'hu####dbeside.net':80
- 'jo####yletter.net':80
- 'in####secountry.net':80
- 'wo####entury.net':80
- 'in####sepower.net':80
- 'fo####country.net':80
- 're####ercentury.net':80
- 'wo###power.net':80
- 're####erpower.net':80
- 'wo###famous.net':80
- 're####erfamous.net':80
- 'ri####beside.net':80
- 'be####beside.net':80
- 'ri####surprise.net':80
- 'be####surprise.net':80
- 'ri####letter.net':80
- 'be####different.net':80
- 'ch####urprise.net':80
- 'be####letter.net':80
- 'ri####different.net':80
- 'li####surprise.net':80
- 'de####ybeside.net':80
- 'hu#####different.net':80
- 'de####ysurprise.net':80
- 'li####beside.net':80
- 'de#####different.net':80
- 'li####different.net':80
- 'de####yletter.net':80
- 'li####letter.net':80
- 'ch###power.net':80
- 'th###power.net':80
- 'ch###famous.net':80
- 'th###famous.net':80
- 'ch####ountry.net':80
- 'su####century.net':80
- 'wi####famous.net':80
- 'th####ountry.net':80
- 'wi####century.net':80
- 'be####famous.net':80
- 'ri###npower.net':80
- 'be####century.net':80
- 'ri####famous.net':80
- 'be###gpower.net':80
- 'ch####entury.net':80
- 'th####entury.net':80
- 'ri####country.net':80
- 'be####country.net':80
- 'ef####country.net':80
- 'th####hcountry.net':80
- 'ef###tpower.net':80
- 'th####hpower.net':80
- 'fo####century.net':80
- 'in####sefamous.net':80
- 'fo###tpower.net':80
- 'in####secentury.net':80
- 'fo####famous.net':80
- 'su###rpower.net':80
- 'wi####country.net':80
- 'su####famous.net':80
- 'wi###npower.net':80
- 'su####country.net':80
- 'ef####famous.net':80
- 'th####hfamous.net':80
- 'ef####century.net':80
- 'th####hcentury.net':80
TCP:
Запросы HTTP GET:
- http://jo####ysurprise.net/index.php?em###############################################
- http://hu####dsurprise.net/index.php?em###############################################
- http://wo####ountry.net/index.php?em###############################################
- http://re####ercountry.net/index.php?em###############################################
- http://jo####ybeside.net/index.php?em###############################################
- http://hu####dletter.net/index.php?em###############################################
- http://jo#####different.net/index.php?em###############################################
- http://hu####dbeside.net/index.php?em###############################################
- http://jo####yletter.net/index.php?em###############################################
- http://in####secountry.net/index.php?em###############################################
- http://wo####entury.net/index.php?em###############################################
- http://in####sepower.net/index.php?em###############################################
- http://fo####country.net/index.php?em###############################################
- http://re####ercentury.net/index.php?em###############################################
- http://wo###power.net/index.php?em###############################################
- http://re####erpower.net/index.php?em###############################################
- http://wo###famous.net/index.php?em###############################################
- http://re####erfamous.net/index.php?em###############################################
- http://ri####beside.net/index.php?em###############################################
- http://be####beside.net/index.php?em###############################################
- http://ri####surprise.net/index.php?em###############################################
- http://be####surprise.net/index.php?em###############################################
- http://ri####letter.net/index.php?em###############################################
- http://be####different.net/index.php?em###############################################
- http://ch####urprise.net/index.php?em###############################################
- http://be####letter.net/index.php?em###############################################
- http://ri####different.net/index.php?em###############################################
- http://li####surprise.net/index.php?em###############################################
- http://de####ybeside.net/index.php?em###############################################
- http://hu#####different.net/index.php?em###############################################
- http://de####ysurprise.net/index.php?em###############################################
- http://li####beside.net/index.php?em###############################################
- http://de#####different.net/index.php?em###############################################
- http://li####different.net/index.php?em###############################################
- http://de####yletter.net/index.php?em###############################################
- http://li####letter.net/index.php?em###############################################
- http://ch###power.net/index.php?em###############################################
- http://th###power.net/index.php?em###############################################
- http://ch###famous.net/index.php?em###############################################
- http://th###famous.net/index.php?em###############################################
- http://ch####ountry.net/index.php?em###############################################
- http://su####century.net/index.php?em###############################################
- http://wi####famous.net/index.php?em###############################################
- http://th####ountry.net/index.php?em###############################################
- http://wi####century.net/index.php?em###############################################
- http://be####famous.net/index.php?em###############################################
- http://ri###npower.net/index.php?em###############################################
- http://be####century.net/index.php?em###############################################
- http://ri####famous.net/index.php?em###############################################
- http://be###gpower.net/index.php?em###############################################
- http://ch####entury.net/index.php?em###############################################
- http://th####entury.net/index.php?em###############################################
- http://ri####country.net/index.php?em###############################################
- http://be####country.net/index.php?em###############################################
- http://ef####country.net/index.php?em###############################################
- http://th####hcountry.net/index.php?em###############################################
- http://ef###tpower.net/index.php?em###############################################
- http://th####hpower.net/index.php?em###############################################
- http://fo####century.net/index.php?em###############################################
- http://in####sefamous.net/index.php?em###############################################
- http://fo###tpower.net/index.php?em###############################################
- http://in####secentury.net/index.php?em###############################################
- http://fo####famous.net/index.php?em###############################################
- http://su###rpower.net/index.php?em###############################################
- http://wi####country.net/index.php?em###############################################
- http://su####famous.net/index.php?em###############################################
- http://wi###npower.net/index.php?em###############################################
- http://su####country.net/index.php?em###############################################
- http://ef####famous.net/index.php?em###############################################
- http://th####hfamous.net/index.php?em###############################################
- http://ef####century.net/index.php?em###############################################
- http://th####hcentury.net/index.php?em###############################################
UDP:
- DNS ASK hu####dsurprise.net
- DNS ASK jo####ybeside.net
- DNS ASK re####ercountry.net
- DNS ASK jo####ysurprise.net
- DNS ASK hu####dbeside.net
- DNS ASK jo#####different.net
- DNS ASK hu#####different.net
- DNS ASK jo####yletter.net
- DNS ASK hu####dletter.net
- DNS ASK wo####entury.net
- DNS ASK re####ercentury.net
- DNS ASK fo####country.net
- DNS ASK in####secountry.net
- DNS ASK wo###famous.net
- DNS ASK re####erpower.net
- DNS ASK wo####ountry.net
- DNS ASK re####erfamous.net
- DNS ASK wo###power.net
- DNS ASK be####beside.net
- DNS ASK ri####letter.net
- DNS ASK be####surprise.net
- DNS ASK ri####beside.net
- DNS ASK be####letter.net
- DNS ASK ch####urprise.net
- DNS ASK th####urprise.net
- DNS ASK ri####different.net
- DNS ASK be####different.net
- DNS ASK de####ybeside.net
- DNS ASK li####beside.net
- DNS ASK de####ysurprise.net
- DNS ASK li####surprise.net
- DNS ASK de####yletter.net
- DNS ASK li####different.net
- DNS ASK ri####surprise.net
- DNS ASK li####letter.net
- DNS ASK de#####different.net
- DNS ASK in####sepower.net
- DNS ASK ch###power.net
- DNS ASK th###power.net
- DNS ASK ch###famous.net
- DNS ASK th###famous.net
- DNS ASK ch####ountry.net
- DNS ASK su####century.net
- DNS ASK wi####famous.net
- DNS ASK th####ountry.net
- DNS ASK wi####century.net
- DNS ASK be####famous.net
- DNS ASK ri###npower.net
- DNS ASK be####century.net
- DNS ASK ri####famous.net
- DNS ASK be###gpower.net
- DNS ASK ch####entury.net
- DNS ASK th####entury.net
- DNS ASK ri####country.net
- DNS ASK be####country.net
- DNS ASK ef####country.net
- DNS ASK th####hcountry.net
- DNS ASK ef###tpower.net
- DNS ASK th####hpower.net
- DNS ASK fo####century.net
- DNS ASK in####sefamous.net
- DNS ASK fo###tpower.net
- DNS ASK in####secentury.net
- DNS ASK fo####famous.net
- DNS ASK su###rpower.net
- DNS ASK wi####country.net
- DNS ASK su####famous.net
- DNS ASK wi###npower.net
- DNS ASK su####country.net
- DNS ASK ef####famous.net
- DNS ASK th####hfamous.net
- DNS ASK ef####century.net
- DNS ASK th####hcentury.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
