Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Upgrade Scheduler' = '%APPDATA%\ruwitdckyyrblk\cnsrkwog.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ruwitdckyyrblk\dueaqqomef.exe' "%APPDATA%\ruwitdckyyrblk\cnsrkwog.exe"
- '%APPDATA%\ruwitdckyyrblk\cnsrkwog.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ruwitdckyyrblk\cnsrkwog.skrsb
- %APPDATA%\ruwitdckyyrblk\dueaqqomef.exe
- %APPDATA%\ruwitdckyyrblk\cnsrkwog.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ruwitdckyyrblk\cnsrkwog.exe
Сетевая активность:
Подключается к:
- 'mi###chance.net':80
- 'st####eeting.net':80
- 'ev#####understood.net':80
- 'st###chance.net':80
- 'mi####eeting.net':80
- 'st####nderstood.net':80
- 'mi####nderstood.net':80
- 'st###twenty.net':80
- 'mi###twenty.net':80
- 'bu####ngchance.net':80
- 'ev####gchance.net':80
- 'mo#####tunderstood.net':80
- 'ou#####understood.net':80
- 'bu####ngmeeting.net':80
- 'ev####gtwenty.net':80
- 'bu#####gunderstood.net':80
- 'ev####gmeeting.net':80
- 'bu####ngtwenty.net':80
TCP:
Запросы HTTP GET:
- http://mi###chance.net/index.php?em#######################################
- http://st####eeting.net/index.php?em#######################################
- http://ev#####understood.net/index.php?em#######################################
- http://st###chance.net/index.php?em#######################################
- http://mi####eeting.net/index.php?em#######################################
- http://st####nderstood.net/index.php?em#######################################
- http://mi####nderstood.net/index.php?em#######################################
- http://st###twenty.net/index.php?em#######################################
- http://mi###twenty.net/index.php?em#######################################
- http://bu####ngchance.net/index.php?em#######################################
- http://ev####gchance.net/index.php?em#######################################
- http://mo#####tunderstood.net/index.php?em#######################################
- http://ou#####understood.net/index.php?em#######################################
- http://bu####ngmeeting.net/index.php?em#######################################
- http://ev####gtwenty.net/index.php?em#######################################
- http://bu#####gunderstood.net/index.php?em#######################################
- http://ev####gmeeting.net/index.php?em#######################################
- http://bu####ngtwenty.net/index.php?em#######################################
UDP:
- DNS ASK mi###chance.net
- DNS ASK st####eeting.net
- DNS ASK ev#####understood.net
- DNS ASK st###chance.net
- DNS ASK mi####eeting.net
- DNS ASK st####nderstood.net
- DNS ASK mi####nderstood.net
- DNS ASK st###twenty.net
- DNS ASK mi###twenty.net
- DNS ASK bu####ngchance.net
- DNS ASK ev####gchance.net
- DNS ASK mo#####tunderstood.net
- DNS ASK ou#####understood.net
- DNS ASK bu####ngmeeting.net
- DNS ASK ev####gtwenty.net
- DNS ASK bu#####gunderstood.net
- DNS ASK ev####gmeeting.net
- DNS ASK bu####ngtwenty.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
