Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Font WebClient Resolution KtmRm Receiver' = '%APPDATA%\eorkgbxiakvs\nnspbkowfani.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\eorkgbxiakvs\wzozgexn.exe' "%APPDATA%\eorkgbxiakvs\nnspbkowfani.exe"
- '%APPDATA%\eorkgbxiakvs\nnspbkowfani.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\eorkgbxiakvs\nnspbkowfani.kd5
- %APPDATA%\eorkgbxiakvs\wzozgexn.exe
- %APPDATA%\eorkgbxiakvs\nnspbkowfani.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\eorkgbxiakvs\nnspbkowfani.exe
Сетевая активность:
Подключается к:
- 're####ershout.net':80
- 'wo###shout.net':80
- 're####erdemand.net':80
- 'jo####ythird.net':80
- 'hu####dstation.net':80
- 'jo####ystation.net':80
- 're####erbring.net':80
- 'wo###bring.net':80
- 'in####seshout.net':80
- 'wo###demand.net':80
- 're####erlisten.net':80
- 'wo###listen.net':80
- 'li###ethird.net':80
- 'de####ythird.net':80
- 'li####station.net':80
- 'de#####childhood.net':80
- 'li####object.net':80
- 'de####yobject.net':80
- 'hu####dobject.net':80
- 'jo####yobject.net':80
- 'hu####dthird.net':80
- 'de####ystation.net':80
- 'hu#####childhood.net':80
- 'jo#####childhood.net':80
- 'su###rshout.net':80
- 'wi###nshout.net':80
- 'su####demand.net':80
- 'ef####listen.net':80
- 'th####hbring.net':80
- 'ef###tbring.net':80
- 'su###rbring.net':80
- 'wi###nbring.net':80
- 'th###shout.net':80
- 'wi####demand.net':80
- 'su####listen.net':80
- 'wi####listen.net':80
- 'in####selisten.net':80
- 'fo####listen.net':80
- 'in####sebring.net':80
- 'fo###tshout.net':80
- 'in####sedemand.net':80
- 'fo####demand.net':80
- 'th####hdemand.net':80
- 'ef####demand.net':80
- 'th####hlisten.net':80
- 'fo###tbring.net':80
- 'th####hshout.net':80
- 'ef###tshout.net':80
TCP:
Запросы HTTP GET:
- http://re####ershout.net/index.php?em#################################################
- http://wo###shout.net/index.php?em#################################################
- http://re####erdemand.net/index.php?em#################################################
- http://jo####ythird.net/index.php?em#################################################
- http://hu####dstation.net/index.php?em#################################################
- http://jo####ystation.net/index.php?em#################################################
- http://re####erbring.net/index.php?em#################################################
- http://wo###bring.net/index.php?em#################################################
- http://in####seshout.net/index.php?em#################################################
- http://wo###demand.net/index.php?em#################################################
- http://re####erlisten.net/index.php?em#################################################
- http://wo###listen.net/index.php?em#################################################
- http://li###ethird.net/index.php?em#################################################
- http://de####ythird.net/index.php?em#################################################
- http://li####station.net/index.php?em#################################################
- http://de#####childhood.net/index.php?em#################################################
- http://li####object.net/index.php?em#################################################
- http://de####yobject.net/index.php?em#################################################
- http://hu####dobject.net/index.php?em#################################################
- http://jo####yobject.net/index.php?em#################################################
- http://hu####dthird.net/index.php?em#################################################
- http://de####ystation.net/index.php?em#################################################
- http://hu#####childhood.net/index.php?em#################################################
- http://jo#####childhood.net/index.php?em#################################################
- http://su###rshout.net/index.php?em#################################################
- http://wi###nshout.net/index.php?em#################################################
- http://su####demand.net/index.php?em#################################################
- http://ef####listen.net/index.php?em#################################################
- http://th####hbring.net/index.php?em#################################################
- http://ef###tbring.net/index.php?em#################################################
- http://su###rbring.net/index.php?em#################################################
- http://wi###nbring.net/index.php?em#################################################
- http://th###shout.net/index.php?em#################################################
- http://wi####demand.net/index.php?em#################################################
- http://su####listen.net/index.php?em#################################################
- http://wi####listen.net/index.php?em#################################################
- http://in####selisten.net/index.php?em#################################################
- http://fo####listen.net/index.php?em#################################################
- http://in####sebring.net/index.php?em#################################################
- http://fo###tshout.net/index.php?em#################################################
- http://in####sedemand.net/index.php?em#################################################
- http://fo####demand.net/index.php?em#################################################
- http://th####hdemand.net/index.php?em#################################################
- http://ef####demand.net/index.php?em#################################################
- http://th####hlisten.net/index.php?em#################################################
- http://fo###tbring.net/index.php?em#################################################
- http://th####hshout.net/index.php?em#################################################
- http://ef###tshout.net/index.php?em#################################################
UDP:
- DNS ASK jo####ystation.net
- DNS ASK re####ershout.net
- DNS ASK wo###shout.net
- DNS ASK hu####dthird.net
- DNS ASK jo####ythird.net
- DNS ASK hu####dstation.net
- DNS ASK wo###listen.net
- DNS ASK re####erbring.net
- DNS ASK wo###bring.net
- DNS ASK re####erdemand.net
- DNS ASK wo###demand.net
- DNS ASK re####erlisten.net
- DNS ASK de####yobject.net
- DNS ASK li###ethird.net
- DNS ASK de####ythird.net
- DNS ASK li####childhood.net
- DNS ASK de#####childhood.net
- DNS ASK li####object.net
- DNS ASK jo#####childhood.net
- DNS ASK hu####dobject.net
- DNS ASK jo####yobject.net
- DNS ASK li####station.net
- DNS ASK de####ystation.net
- DNS ASK hu#####childhood.net
- DNS ASK in####seshout.net
- DNS ASK su###rshout.net
- DNS ASK wi###nshout.net
- DNS ASK su####demand.net
- DNS ASK ef####listen.net
- DNS ASK th####hbring.net
- DNS ASK ef###tbring.net
- DNS ASK su###rbring.net
- DNS ASK wi###nbring.net
- DNS ASK th###shout.net
- DNS ASK wi####demand.net
- DNS ASK su####listen.net
- DNS ASK wi####listen.net
- DNS ASK in####selisten.net
- DNS ASK fo####listen.net
- DNS ASK in####sebring.net
- DNS ASK fo###tshout.net
- DNS ASK in####sedemand.net
- DNS ASK fo####demand.net
- DNS ASK th####hdemand.net
- DNS ASK ef####demand.net
- DNS ASK th####hlisten.net
- DNS ASK fo###tbring.net
- DNS ASK th####hshout.net
- DNS ASK ef###tshout.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
