Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Connections TCP/IP Link-Layer SNMP Net.Tcp' = 'C:\nlkxlfjjmetjztp\wwaqdoipm.exe'
Вредоносные функции:
Запускает на исполнение:
- 'C:\nlkxlfjjmetjztp\jftvzvjra.exe' "c:\nlkxlfjjmetjztp\wwaqdoipm.exe"
- 'C:\nlkxlfjjmetjztp\wwaqdoipm.exe'
- 'C:\nlkxlfjjmetjztp\dssp2upxqvmqy19yjkw.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\nlkxlfjjmetjztp\wwaqdoipm.exe
- C:\nlkxlfjjmetjztp\jftvzvjra.exe
- C:\nlkxlfjjmetjztp\lbpoic
- %WINDIR%\nlkxlfjjmetjztp\rpibugfq
- C:\nlkxlfjjmetjztp\rpibugfq
- C:\nlkxlfjjmetjztp\dssp2upxqvmqy19yjkw.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\nlkxlfjjmetjztp\jftvzvjra.exe
- C:\nlkxlfjjmetjztp\wwaqdoipm.exe
Удаляет следующие файлы:
- C:\nlkxlfjjmetjztp\dssp2upxqvmqy19yjkw.exe
- %WINDIR%\nlkxlfjjmetjztp\rpibugfq
Подменяет следующие файлы:
- %WINDIR%\nlkxlfjjmetjztp\rpibugfq
Сетевая активность:
Подключается к:
- 'he####eeting.net':80
- 'ge####chance.net':80
- 'he###twenty.net':80
- 'ge####meeting.net':80
- 'le#####nderstood.net':80
- 'he####twenty.net':80
- 'he###chance.net':80
- 'he#####nderstood.net':80
- 'ge####twenty.net':80
- 're####meeting.net':80
- 'va####smeeting.net':80
- 're####twenty.net':80
- 'va####stwenty.net':80
- 'ge#####nderstood.net':80
- 'he####nderstood.net':80
- 're####chance.net':80
- 'va####schance.net':80
- 're####echance.net':80
- 'or###chance.net':80
- 're####emeeting.net':80
- 'or####eeting.net':80
- 'ne####arytwenty.net':80
- 'pl####nttwenty.net':80
- 'ne#####ryunderstood.net':80
- 'pl#####tunderstood.net':80
- 'or###twenty.net':80
- 'le####meeting.net':80
- 'he####chance.net':80
- 'le####twenty.net':80
- 'he####meeting.net':80
- 'or####nderstood.net':80
- 're####etwenty.net':80
- 'le####chance.net':80
- 're#####understood.net':80
TCP:
Запросы HTTP GET:
- http://he####eeting.net/index.php
- http://ge####chance.net/index.php
- http://he###twenty.net/index.php
- http://ge####meeting.net/index.php
- http://le#####nderstood.net/index.php
- http://he####twenty.net/index.php
- http://he###chance.net/index.php
- http://he#####nderstood.net/index.php
- http://ge####twenty.net/index.php
- http://re####meeting.net/index.php
- http://va####smeeting.net/index.php
- http://re####twenty.net/index.php
- http://va####stwenty.net/index.php
- http://ge#####nderstood.net/index.php
- http://he####nderstood.net/index.php
- http://re####chance.net/index.php
- http://va####schance.net/index.php
- http://re####echance.net/index.php
- http://or###chance.net/index.php
- http://re####emeeting.net/index.php
- http://or####eeting.net/index.php
- http://ne####arytwenty.net/index.php
- http://pl####nttwenty.net/index.php
- http://ne#####ryunderstood.net/index.php
- http://pl#####tunderstood.net/index.php
- http://or###twenty.net/index.php
- http://le####meeting.net/index.php
- http://he####chance.net/index.php
- http://le####twenty.net/index.php
- http://he####meeting.net/index.php
- http://or####nderstood.net/index.php
- http://re####etwenty.net/index.php
- http://le####chance.net/index.php
- http://re#####understood.net/index.php
UDP:
- DNS ASK he####eeting.net
- DNS ASK ge####chance.net
- DNS ASK he###twenty.net
- DNS ASK ge####meeting.net
- DNS ASK le#####nderstood.net
- DNS ASK he####twenty.net
- DNS ASK he###chance.net
- DNS ASK he#####nderstood.net
- DNS ASK ge####twenty.net
- DNS ASK re####meeting.net
- DNS ASK va####smeeting.net
- DNS ASK re####twenty.net
- DNS ASK va####stwenty.net
- DNS ASK ge#####nderstood.net
- DNS ASK he####nderstood.net
- DNS ASK re####chance.net
- DNS ASK va####schance.net
- DNS ASK re####echance.net
- DNS ASK or###chance.net
- DNS ASK re####emeeting.net
- DNS ASK or####eeting.net
- DNS ASK ne####arytwenty.net
- DNS ASK pl####nttwenty.net
- DNS ASK ne#####ryunderstood.net
- DNS ASK pl#####tunderstood.net
- DNS ASK or###twenty.net
- DNS ASK le####meeting.net
- DNS ASK he####chance.net
- DNS ASK le####twenty.net
- DNS ASK he####meeting.net
- DNS ASK or####nderstood.net
- DNS ASK re####etwenty.net
- DNS ASK le####chance.net
- DNS ASK re#####understood.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
