Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'CryptoLocker' = '"%APPDATA%\Jmhskctribudntf.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Jmhskctribudntf.exe' /w0000007C
- '%APPDATA%\Jmhskctribudntf.exe' "/r<Полный путь к вирусу>"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\LMIF128.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\home[1].htm
- %TEMP%\GNA86D5.tmp
- %TEMP%\WTW1833.tmp
- %APPDATA%\Jmhskctribudntf.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Jmhskctribudntf.exe
Удаляет следующие файлы:
- %TEMP%\LMIF128.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\home[1].htm
- %TEMP%\WTW1833.tmp
- %TEMP%\GNA86D5.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'fh####ucaqlq.net':80
- 'qk####toojxl.com':80
- 'ya###ekkbacx.ru':80
- 'sj####owwkmg.biz':80
- 'lt####ghirib.org':80
- 'll###yxopsia.ru':80
- 'di####atrpwv.info':80
- 'mh####sqvapq.co.uk':80
- 'mc####efxtdn.org':80
- 'kq###yxsekgq.ru':80
- 'jd####cghvkw.biz':80
- 'ej####nbftwx.co.uk':80
- 'dv####roifbe.org':80
- 'ob####ynguri.info':80
- 'by####fsjbqs.co.uk':80
- 'ir####dkvjrv.net':80
- 'he####hxyuvc.com':80
- 'xm####enyixr.co.uk':80
- 'kk####tyluix.org':80
- 'yi####ypfpfi.com':80
- 'lg####obrcpo.info':80
- 'ub####sfigrbhj.biz':80
- 'lw####wfuwuk.net':80
- 'li###avvijkq.ru':80
- 'ku####ajluow.biz':80
- 'gc####epufna.net':80
- 'pc####vqyhdy.com':80
- 'pt####nxgidx.info':80
- 'kx####lfckbk.biz':80
- 'qp####iampko.net':80
- 'hx###jyrbmuq.ru':80
- 'te####oeisdt.biz':80
- 'og####bosavi.co.uk':80
- 'ua####jgoakk.org':80
UDP:
- DNS ASK fh####ucaqlq.net
- DNS ASK qk####toojxl.com
- DNS ASK ya###ekkbacx.ru
- DNS ASK sj####owwkmg.biz
- DNS ASK lt####ghirib.org
- DNS ASK ll###yxopsia.ru
- DNS ASK di####atrpwv.info
- DNS ASK mh####sqvapq.co.uk
- DNS ASK mc####efxtdn.org
- DNS ASK kq###yxsekgq.ru
- DNS ASK jd####cghvkw.biz
- DNS ASK ej####nbftwx.co.uk
- DNS ASK dv####roifbe.org
- DNS ASK ob####ynguri.info
- DNS ASK by####fsjbqs.co.uk
- DNS ASK ir####dkvjrv.net
- DNS ASK he####hxyuvc.com
- DNS ASK xm####enyixr.co.uk
- DNS ASK kk####tyluix.org
- DNS ASK yi####ypfpfi.com
- DNS ASK lg####obrcpo.info
- DNS ASK ub####sfigrbhj.biz
- DNS ASK lw####wfuwuk.net
- DNS ASK li###avvijkq.ru
- DNS ASK ku####ajluow.biz
- DNS ASK gc####epufna.net
- DNS ASK pc####vqyhdy.com
- DNS ASK pt####nxgidx.info
- DNS ASK kx####lfckbk.biz
- DNS ASK qp####iampko.net
- DNS ASK hx###jyrbmuq.ru
- DNS ASK te####oeisdt.biz
- DNS ASK og####bosavi.co.uk
- DNS ASK ua####jgoakk.org
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
