Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Remote Card Source Transfer Parental Control' = 'C:\wcpdzmdfv\rvmbooqe.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Print iSCSI Policy Notification] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\wcpdzmdfv\mhaqabdggkv.exe' "c:\wcpdzmdfv\rvmbooqe.exe"
- 'C:\wcpdzmdfv\rvmbooqe.exe'
- 'C:\wcpdzmdfv\cvzy3r5grziajebqk4kjn.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\wcpdzmdfv\rvmbooqe.exe
- C:\wcpdzmdfv\mhaqabdggkv.exe
- C:\wcpdzmdfv\ckaywi
- %WINDIR%\wcpdzmdfv\bqlbpye
- C:\wcpdzmdfv\bqlbpye
- C:\wcpdzmdfv\cvzy3r5grziajebqk4kjn.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\wcpdzmdfv\mhaqabdggkv.exe
- C:\wcpdzmdfv\rvmbooqe.exe
Удаляет следующие файлы:
- C:\wcpdzmdfv\cvzy3r5grziajebqk4kjn.exe
- %WINDIR%\wcpdzmdfv\bqlbpye
Сетевая активность:
Подключается к:
- 'ef####position.net':80
- 'th####hnumber.net':80
- 'ef####strike.net':80
- 'th####hposition.net':80
- 'ef####number.net':80
- 'su####strike.net':80
- 'wi####strike.net':80
- 'su####partial.net':80
- 'wi####partial.net':80
- 'in#####eposition.net':80
- 'fo####position.net':80
- 'in####sestrike.net':80
- 'fo####strike.net':80
- 'in####senumber.net':80
- 'ef####partial.net':80
- 'th####hstrike.net':80
- 'fo####number.net':80
- 'th####hpartial.net':80
- 'su####position.net':80
- 'be####partial.net':80
- 'ri####partial.net':80
- 'th###number.net':80
- 'ch###number.net':80
- 'be####strike.net':80
- 'ri####position.net':80
- 'be####number.net':80
- 'ri####strike.net':80
- 'be####position.net':80
- 'wi####number.net':80
- 'th####artial.net':80
- 'wi####position.net':80
- 'su####number.net':80
- 'ch####artial.net':80
- 'th####osition.net':80
- 'ch####osition.net':80
- 'th###strike.net':80
- 'ch###strike.net':80
TCP:
Запросы HTTP GET:
- http://ef####position.net/index.php?me########
- http://th####hnumber.net/index.php?me########
- http://ef####strike.net/index.php?me########
- http://th####hposition.net/index.php?me########
- http://ef####number.net/index.php?me########
- http://su####strike.net/index.php?me########
- http://wi####strike.net/index.php?me########
- http://su####partial.net/index.php?me########
- http://wi####partial.net/index.php?me########
- http://in#####eposition.net/index.php?me########
- http://fo####position.net/index.php?me########
- http://in####sestrike.net/index.php?me########
- http://fo####strike.net/index.php?me########
- http://in####senumber.net/index.php?me########
- http://ef####partial.net/index.php?me########
- http://th####hstrike.net/index.php?me########
- http://fo####number.net/index.php?me########
- http://th####hpartial.net/index.php?me########
- http://su####position.net/index.php?me########
- http://be####partial.net/index.php?me########
- http://ri####partial.net/index.php?me########
- http://th###number.net/index.php?me########
- http://ch###number.net/index.php?me########
- http://be####strike.net/index.php?me########
- http://ri####position.net/index.php?me########
- http://be####number.net/index.php?me########
- http://ri####strike.net/index.php?me########
- http://be####position.net/index.php?me########
- http://wi####number.net/index.php?me########
- http://th####artial.net/index.php?me########
- http://wi####position.net/index.php?me########
- http://su####number.net/index.php?me########
- http://ch####artial.net/index.php?me########
- http://th####osition.net/index.php?me########
- http://ch####osition.net/index.php?me########
- http://th###strike.net/index.php?me########
- http://ch###strike.net/index.php?me########
UDP:
- DNS ASK ef####position.net
- DNS ASK th####hnumber.net
- DNS ASK ef####strike.net
- DNS ASK th####hposition.net
- DNS ASK ef####number.net
- DNS ASK su####strike.net
- DNS ASK wi####strike.net
- DNS ASK su####partial.net
- DNS ASK wi####partial.net
- DNS ASK in#####eposition.net
- DNS ASK fo####position.net
- DNS ASK in####sestrike.net
- DNS ASK fo####strike.net
- DNS ASK in####senumber.net
- DNS ASK ef####partial.net
- DNS ASK th####hstrike.net
- DNS ASK fo####number.net
- DNS ASK th####hpartial.net
- DNS ASK su####position.net
- DNS ASK be####partial.net
- DNS ASK ri####partial.net
- DNS ASK th###number.net
- DNS ASK ch###number.net
- DNS ASK be####strike.net
- DNS ASK ri####position.net
- DNS ASK be####number.net
- DNS ASK ri####strike.net
- DNS ASK be####position.net
- DNS ASK wi####number.net
- DNS ASK th####artial.net
- DNS ASK wi####position.net
- DNS ASK su####number.net
- DNS ASK ch####artial.net
- DNS ASK th####osition.net
- DNS ASK ch####osition.net
- DNS ASK th###strike.net
- DNS ASK ch###strike.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
