Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Video Link-Layer Awareness SNMP' = '%APPDATA%\zhfgacfyyibzbd\swxduhn.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\zhfgacfyyibzbd\uzeurwjl.exe' "%APPDATA%\zhfgacfyyibzbd\swxduhn.exe"
- '%APPDATA%\zhfgacfyyibzbd\swxduhn.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\zhfgacfyyibzbd\swxduhn.k7noq
- %APPDATA%\zhfgacfyyibzbd\uzeurwjl.exe
- %APPDATA%\zhfgacfyyibzbd\swxduhn.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\zhfgacfyyibzbd\swxduhn.exe
Удаляет следующие файлы:
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'mi####article.net':80
- 'tw###eangry.net':80
- 'mi###eangry.net':80
- 'mo####gdried.net':80
- 'ra###rdried.net':80
- 'tw####article.net':80
- 'mi###edried.net':80
- 'al####rticle.net':80
- 'of####rticle.net':80
- 'tw####fifteen.net':80
- 'mi####fifteen.net':80
- 'tw###edried.net':80
- 'st####efifteen.net':80
- 'hi####ydried.net':80
- 'st####edried.net':80
- 'hi####yangry.net':80
- 'st####eangry.net':80
- 'hi####yfifteen.net':80
- 'ra###rangry.net':80
- 'mo####gfifteen.net':80
- 'ra####fifteen.net':80
- 'mo####garticle.net':80
- 'ra####article.net':80
- 'mo####gangry.net':80
- 'al###angry.net':80
- 'pr####tangry.net':80
- 'th###angry.net':80
- 'pr####tfifteen.net':80
- 'ch###dried.net':80
- 'pr####tarticle.net':80
- 'th####rticle.net':80
- 'cl###butter.net':80
- 'th###butter.net':80
- 'cl###behind.net':80
- 'th####ifteen.net':80
- 'pr####tdried.net':80
- 'th###dried.net':80
- 'al###dried.net':80
- 'of###dried.net':80
- 'co####earticle.net':80
- 'of###angry.net':80
- 'al####ifteen.net':80
- 'of####ifteen.net':80
- 'co####efifteen.net':80
- 'ch####ifteen.net':80
- 'co####edried.net':80
- 'ch####rticle.net':80
- 'co####eangry.net':80
- 'ch###angry.net':80
TCP:
Запросы HTTP GET:
- mi####article.net/index.php?em############################################
- tw###eangry.net/index.php?em############################################
- mi###eangry.net/index.php?em############################################
- mo####gdried.net/index.php?em############################################
- ra###rdried.net/index.php?em############################################
- tw####article.net/index.php?em############################################
- mi###edried.net/index.php?em############################################
- al####rticle.net/index.php?em############################################
- of####rticle.net/index.php?em############################################
- tw####fifteen.net/index.php?em############################################
- mi####fifteen.net/index.php?em############################################
- tw###edried.net/index.php?em############################################
- st####efifteen.net/index.php?em############################################
- hi####ydried.net/index.php?em############################################
- st####edried.net/index.php?em############################################
- hi####yangry.net/index.php?em############################################
- st####eangry.net/index.php?em############################################
- hi####yfifteen.net/index.php?em############################################
- ra###rangry.net/index.php?em############################################
- mo####gfifteen.net/index.php?em############################################
- ra####fifteen.net/index.php?em############################################
- mo####garticle.net/index.php?em############################################
- ra####article.net/index.php?em############################################
- mo####gangry.net/index.php?em############################################
- al###angry.net/index.php?em############################################
- pr####tangry.net/index.php?em############################################
- th###angry.net/index.php?em############################################
- pr####tfifteen.net/index.php?em############################################
- ch###dried.net/index.php?em############################################
- pr####tarticle.net/index.php?em############################################
- th####rticle.net/index.php?em############################################
- cl###butter.net/index.php?em############################################
- th###butter.net/index.php?em############################################
- cl###behind.net/index.php?em############################################
- th####ifteen.net/index.php?em############################################
- pr####tdried.net/index.php?em############################################
- th###dried.net/index.php?em############################################
- al###dried.net/index.php?em############################################
- of###dried.net/index.php?em############################################
- co####earticle.net/index.php?em############################################
- of###angry.net/index.php?em############################################
- al####ifteen.net/index.php?em############################################
- of####ifteen.net/index.php?em############################################
- co####efifteen.net/index.php?em############################################
- ch####ifteen.net/index.php?em############################################
- co####edried.net/index.php?em############################################
- ch####rticle.net/index.php?em############################################
- co####eangry.net/index.php?em############################################
- ch###angry.net/index.php?em############################################
UDP:
- DNS ASK mi####article.net
- DNS ASK tw###eangry.net
- DNS ASK mi###eangry.net
- DNS ASK mo####gdried.net
- DNS ASK ra###rdried.net
- DNS ASK tw####article.net
- DNS ASK mi###edried.net
- DNS ASK al####rticle.net
- DNS ASK of####rticle.net
- DNS ASK tw####fifteen.net
- DNS ASK mi####fifteen.net
- DNS ASK tw###edried.net
- DNS ASK st####efifteen.net
- DNS ASK hi####ydried.net
- DNS ASK st####edried.net
- DNS ASK hi####yangry.net
- DNS ASK st####eangry.net
- DNS ASK hi####yfifteen.net
- DNS ASK ra###rangry.net
- DNS ASK mo####gfifteen.net
- DNS ASK ra####fifteen.net
- DNS ASK mo####garticle.net
- DNS ASK ra####article.net
- DNS ASK mo####gangry.net
- DNS ASK al###angry.net
- DNS ASK pr####tangry.net
- DNS ASK th###angry.net
- DNS ASK pr####tfifteen.net
- DNS ASK ch###dried.net
- DNS ASK pr####tarticle.net
- DNS ASK th####rticle.net
- DNS ASK cl###butter.net
- DNS ASK th###butter.net
- DNS ASK cl###behind.net
- DNS ASK th####ifteen.net
- DNS ASK pr####tdried.net
- DNS ASK th###dried.net
- DNS ASK al###dried.net
- DNS ASK of###dried.net
- DNS ASK co####earticle.net
- DNS ASK of###angry.net
- DNS ASK al####ifteen.net
- DNS ASK of####ifteen.net
- DNS ASK co####efifteen.net
- DNS ASK ch####ifteen.net
- DNS ASK co####edried.net
- DNS ASK ch####rticle.net
- DNS ASK co####eangry.net
- DNS ASK ch###angry.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
