Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '*CryptoLocker' = '"<LS_APPDATA>\Fpivibovqxopnnv.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'CryptoLocker' = '"<LS_APPDATA>\Fpivibovqxopnnv.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\Fpivibovqxopnnv.exe' -wb8
- '<LS_APPDATA>\Fpivibovqxopnnv.exe' "-r<Полный путь к вирусу>"
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RHQ1391.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\home[1].htm
- %TEMP%\LOS61.tmp
- %TEMP%\LLW6FB0.tmp
- <LS_APPDATA>\Fpivibovqxopnnv.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <LS_APPDATA>\Fpivibovqxopnnv.exe
Удаляет следующие файлы:
- %TEMP%\RHQ1391.tmp
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\home[1].htm
- %TEMP%\LOS61.tmp
- <SYSTEM32>\PerfStringBackup.TMP
- %TEMP%\LLW6FB0.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ok####cbwkkgl.ru':80
- 'um####vmqybta.biz':80
- 'pg####mkjaakc.org':80
- 'qc####yacmmwl.info':80
- 'pg####oqpwwsl.co.uk':80
- 'tq####ldejlpa.net':80
- 'ln####mbsmigd.org':80
- 'xc####mamcvgc.ru':80
- 'yx####ypfoisl.co.uk':80
- 'tq####jwxmohx.com':80
- 'su####ynlwydh.info':80
- 'ya####hupguem.com':80
- 'ds####jymqnim.net':80
- 'ky####synbtkn.com':80
- 'eo####dlimyum.biz':80
- 'gn####phylitf.org':80
- 'fr####vudpwho.ru':80
- 'wo####werspgo.info':80
- 'by####tqgfedo.biz':80
- 'mk####dployiu.net':80
- 'oj####plcnihn.ru':80
- 'ia####gdwckln.co.uk':80
- 'up####kibtghf.org':80
- 'kr####alaavtd.biz':80
- 'go####qtblbv.com':80
- 'xe####akbpmh.info':80
- 'tb####madilj.net':80
- 'vv###grmogbk.ru':80
- 'ij####vgmjqw.biz':80
- 'kr####eeysct.co.uk':80
- 'wd####kkmhqy.net':80
- 'sh####hbrift.com':80
- 'xb####ufamum.biz':80
- 'vj####uxprwg.org':80
- 'iw###ayrnums.ru':80
- 'qc####evnieg.org':80
- 'oc####wxomkqk.co.uk':80
- 'rm####ulovig.org':80
- 'cm####jmbokdj.info':80
- 'di####vctbwpl.net':80
- 'px####jnhywdd.com':80
- 'qo###ibkmwik.ru':80
- 'sw####jiygth.info':80
- 'ra####xwphec.co.uk':80
- 'tu####djbftd.com':80
- 'pr####pydxsf.biz':80
- 'ot####vxbysj.net':80
UDP:
- DNS ASK ok####cbwkkgl.ru
- DNS ASK um####vmqybta.biz
- DNS ASK pg####mkjaakc.org
- DNS ASK qc####yacmmwl.info
- DNS ASK pg####oqpwwsl.co.uk
- DNS ASK tq####ldejlpa.net
- DNS ASK ln####mbsmigd.org
- DNS ASK xc####mamcvgc.ru
- DNS ASK yx####ypfoisl.co.uk
- DNS ASK tq####jwxmohx.com
- DNS ASK su####ynlwydh.info
- DNS ASK ya####hupguem.com
- DNS ASK ds####jymqnim.net
- DNS ASK ky####synbtkn.com
- DNS ASK eo####dlimyum.biz
- DNS ASK gn####phylitf.org
- DNS ASK fr####vudpwho.ru
- DNS ASK wo####werspgo.info
- DNS ASK by####tqgfedo.biz
- DNS ASK mk####dployiu.net
- DNS ASK oj####plcnihn.ru
- DNS ASK ia####gdwckln.co.uk
- DNS ASK up####kibtghf.org
- DNS ASK kr####alaavtd.biz
- DNS ASK go####qtblbv.com
- DNS ASK xe####akbpmh.info
- DNS ASK tb####madilj.net
- DNS ASK vv###grmogbk.ru
- DNS ASK ij####vgmjqw.biz
- DNS ASK kr####eeysct.co.uk
- DNS ASK wd####kkmhqy.net
- DNS ASK sh####hbrift.com
- DNS ASK xb####ufamum.biz
- DNS ASK vj####uxprwg.org
- DNS ASK iw###ayrnums.ru
- DNS ASK qc####evnieg.org
- DNS ASK oc####wxomkqk.co.uk
- DNS ASK rm####ulovig.org
- DNS ASK cm####jmbokdj.info
- DNS ASK di####vctbwpl.net
- DNS ASK px####jnhywdd.com
- DNS ASK qo###ibkmwik.ru
- DNS ASK sw####jiygth.info
- DNS ASK ra####xwphec.co.uk
- DNS ASK tu####djbftd.com
- DNS ASK pr####pydxsf.biz
- DNS ASK ot####vxbysj.net
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
