Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Virtual Connections Trap Port Background Name' = '%APPDATA%\gwvjzrywclujqwr\hjfdnch.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\gwvjzrywclujqwr\czdghgoh.exe' "%APPDATA%\gwvjzrywclujqwr\hjfdnch.exe"
- '%APPDATA%\gwvjzrywclujqwr\hjfdnch.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\gwvjzrywclujqwr\hjfdnch.blw
- %APPDATA%\gwvjzrywclujqwr\czdghgoh.exe
- %APPDATA%\gwvjzrywclujqwr\hjfdnch.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\gwvjzrywclujqwr\hjfdnch.exe
Сетевая активность:
Подключается к:
- 'bu####ngattempt.net':80
- 'ou####espread.net':80
- 'mo####ntspread.net':80
- 'ev####gattempt.net':80
- 'bu#####gneighbor.net':80
- 'ev####gsquare.net':80
- 'bu####ngsquare.net':80
- 'ou####eneighbor.net':80
- 'mo####ntattempt.net':80
- 'st####artial.net':80
- 'st####thpartial.net':80
- 'ou####eattempt.net':80
- 'mo#####tneighbor.net':80
- 'ou####esquare.net':80
- 'mo####ntsquare.net':80
- 'mi###spread.net':80
- 'st###spread.net':80
- 'mi####eighbor.net':80
- 'do####attempt.net':80
- 'pr####square.net':80
- 'do####square.net':80
- 'pr####attempt.net':80
- 'st####eighbor.net':80
- 'ev####gspread.net':80
- 'bu####ngspread.net':80
- 'ev####gneighbor.net':80
- 'st####ttempt.net':80
- 'mi###square.net':80
- 'st###square.net':80
- 'mi####ttempt.net':80
- 'st###strike.net':80
- 're####number.net':80
- 'br####number.net':80
- 'do####partial.net':80
- 'br####position.net':80
- 're####strike.net':80
- 'br####strike.net':80
- 're####position.net':80
- 'fe####partial.net':80
- 'do####number.net':80
- 'fe####number.net':80
- 'pr####partial.net':80
- 'fe####position.net':80
- 'do####strike.net':80
- 'fe####strike.net':80
- 'do####position.net':80
- 'st####thnumber.net':80
- 'de####partial.net':80
- 'pr####epartial.net':80
- 'st###number.net':80
- 'st####thstrike.net':80
- 'st####osition.net':80
- 'st#####hposition.net':80
- 'de####strike.net':80
- 'pr####enumber.net':80
- 're####partial.net':80
- 'br####partial.net':80
- 'de####number.net':80
- 'pr####estrike.net':80
- 'de####position.net':80
- 'pr####eposition.net':80
TCP:
Запросы HTTP GET:
- bu####ngattempt.net/index.php?em#######################################
- ou####espread.net/index.php?em#######################################
- mo####ntspread.net/index.php?em#######################################
- ev####gattempt.net/index.php?em#######################################
- bu#####gneighbor.net/index.php?em#######################################
- ev####gsquare.net/index.php?em#######################################
- bu####ngsquare.net/index.php?em#######################################
- ou####eneighbor.net/index.php?em#######################################
- mo####ntattempt.net/index.php?em#######################################
- st####artial.net/index.php?em#######################################
- st####thpartial.net/index.php?em#######################################
- ou####eattempt.net/index.php?em#######################################
- mo#####tneighbor.net/index.php?em#######################################
- ou####esquare.net/index.php?em#######################################
- mo####ntsquare.net/index.php?em#######################################
- mi###spread.net/index.php?em#######################################
- st###spread.net/index.php?em#######################################
- mi####eighbor.net/index.php?em#######################################
- do####attempt.net/index.php?em#######################################
- pr####square.net/index.php?em#######################################
- do####square.net/index.php?em#######################################
- pr####attempt.net/index.php?em#######################################
- st####eighbor.net/index.php?em#######################################
- ev####gspread.net/index.php?em#######################################
- bu####ngspread.net/index.php?em#######################################
- ev####gneighbor.net/index.php?em#######################################
- st####ttempt.net/index.php?em#######################################
- mi###square.net/index.php?em#######################################
- st###square.net/index.php?em#######################################
- mi####ttempt.net/index.php?em#######################################
- st###strike.net/index.php?em#######################################
- re####number.net/index.php?em#######################################
- br####number.net/index.php?em#######################################
- do####partial.net/index.php?em#######################################
- br####position.net/index.php?em#######################################
- re####strike.net/index.php?em#######################################
- br####strike.net/index.php?em#######################################
- re####position.net/index.php?em#######################################
- fe####partial.net/index.php?em#######################################
- do####number.net/index.php?em#######################################
- fe####number.net/index.php?em#######################################
- pr####partial.net/index.php?em#######################################
- fe####position.net/index.php?em#######################################
- do####strike.net/index.php?em#######################################
- fe####strike.net/index.php?em#######################################
- do####position.net/index.php?em#######################################
- st####thnumber.net/index.php?em#######################################
- de####partial.net/index.php?em#######################################
- pr####epartial.net/index.php?em#######################################
- st###number.net/index.php?em#######################################
- st####thstrike.net/index.php?em#######################################
- st####osition.net/index.php?em#######################################
- st#####hposition.net/index.php?em#######################################
- de####strike.net/index.php?em#######################################
- pr####enumber.net/index.php?em#######################################
- re####partial.net/index.php?em#######################################
- br####partial.net/index.php?em#######################################
- de####number.net/index.php?em#######################################
- pr####estrike.net/index.php?em#######################################
- de####position.net/index.php?em#######################################
- pr####eposition.net/index.php?em#######################################
UDP:
- DNS ASK bu####ngattempt.net
- DNS ASK ou####espread.net
- DNS ASK mo####ntspread.net
- DNS ASK ev####gattempt.net
- DNS ASK bu#####gneighbor.net
- DNS ASK ev####gsquare.net
- DNS ASK bu####ngsquare.net
- DNS ASK ou####eneighbor.net
- DNS ASK mo####ntattempt.net
- DNS ASK st####artial.net
- DNS ASK st####thpartial.net
- DNS ASK ou####eattempt.net
- DNS ASK mo#####tneighbor.net
- DNS ASK ou####esquare.net
- DNS ASK mo####ntsquare.net
- DNS ASK mi###spread.net
- DNS ASK st###spread.net
- DNS ASK mi####eighbor.net
- DNS ASK do####attempt.net
- DNS ASK pr####square.net
- DNS ASK do####square.net
- DNS ASK pr####attempt.net
- DNS ASK st####eighbor.net
- DNS ASK ev####gspread.net
- DNS ASK bu####ngspread.net
- DNS ASK ev####gneighbor.net
- DNS ASK st####ttempt.net
- DNS ASK mi###square.net
- DNS ASK st###square.net
- DNS ASK mi####ttempt.net
- DNS ASK st###strike.net
- DNS ASK re####number.net
- DNS ASK br####number.net
- DNS ASK do####partial.net
- DNS ASK br####position.net
- DNS ASK re####strike.net
- DNS ASK br####strike.net
- DNS ASK re####position.net
- DNS ASK fe####partial.net
- DNS ASK do####number.net
- DNS ASK fe####number.net
- DNS ASK pr####partial.net
- DNS ASK fe####position.net
- DNS ASK do####strike.net
- DNS ASK fe####strike.net
- DNS ASK do####position.net
- DNS ASK st####thnumber.net
- DNS ASK de####partial.net
- DNS ASK pr####epartial.net
- DNS ASK st###number.net
- DNS ASK st####thstrike.net
- DNS ASK st####osition.net
- DNS ASK st#####hposition.net
- DNS ASK de####strike.net
- DNS ASK pr####enumber.net
- DNS ASK re####partial.net
- DNS ASK br####partial.net
- DNS ASK de####number.net
- DNS ASK pr####estrike.net
- DNS ASK de####position.net
- DNS ASK pr####eposition.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
