Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Tools BitLocker Discovery Manager Bus' = '%APPDATA%\wfdp6jzffbv\awqdjpf.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\wfdp6jzffbv\uamhis6.exe' "%APPDATA%\wfdp6jzffbv\awqdjpf.exe"
- '%APPDATA%\wfdp6jzffbv\awqdjpf.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\wfdp6jzffbv\awqdjpf.xrn
- %APPDATA%\wfdp6jzffbv\uamhis6.exe
- %APPDATA%\wfdp6jzffbv\awqdjpf.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\wfdp6jzffbv\awqdjpf.exe
Сетевая активность:
Подключается к:
- 'se####nature.net':80
- 'la###nature.net':80
- 'ma#####lcomplete.net':80
- 'ma####alproud.net':80
- 'se####lcomplete.net':80
- 'se####needle.net':80
- 'se####govern.net':80
- 'la###govern.net':80
- 'la###enough.net':80
- 'la###needle.net':80
- 'se####enough.net':80
- 'pr####lyproud.net':80
- 'sw####omplete.net':80
- 'sw###proud.net':80
- 'sw###around.net':80
- 'pr####lyaround.net':80
- 'pr#####ycomplete.net':80
- 'ma####alaround.net':80
- 'se####lproud.net':80
- 'se####laround.net':80
- 'se####lwelcome.net':80
- 'ma####alwelcome.net':80
TCP:
Запросы HTTP GET:
- se####nature.net/index.php?em##############################################################
- la###nature.net/index.php?em##############################################################
- ma#####lcomplete.net/index.php?em##############################################################
- ma####alproud.net/index.php?em##############################################################
- se####lcomplete.net/index.php?em##############################################################
- se####needle.net/index.php?em##############################################################
- se####govern.net/index.php?em##############################################################
- la###govern.net/index.php?em##############################################################
- la###enough.net/index.php?em##############################################################
- la###needle.net/index.php?em##############################################################
- se####enough.net/index.php?em##############################################################
- pr####lyproud.net/index.php?em##############################################################
- sw####omplete.net/index.php?em##############################################################
- sw###proud.net/index.php?em##############################################################
- sw###around.net/index.php?em##############################################################
- pr####lyaround.net/index.php?em##############################################################
- pr#####ycomplete.net/index.php?em##############################################################
- ma####alaround.net/index.php?em##############################################################
- se####lproud.net/index.php?em##############################################################
- se####laround.net/index.php?em##############################################################
- se####lwelcome.net/index.php?em##############################################################
- ma####alwelcome.net/index.php?em##############################################################
UDP:
- DNS ASK la###nature.net
- DNS ASK se####needle.net
- DNS ASK se####nature.net
- DNS ASK se####lcomplete.net
- DNS ASK ma#####lcomplete.net
- DNS ASK la###needle.net
- DNS ASK la###govern.net
- DNS ASK si####nature.net
- DNS ASK se####govern.net
- DNS ASK se####enough.net
- DNS ASK la###enough.net
- DNS ASK ma####alproud.net
- DNS ASK pr####lyproud.net
- DNS ASK sw####omplete.net
- DNS ASK sw###proud.net
- DNS ASK sw###around.net
- DNS ASK pr####lyaround.net
- DNS ASK pr#####ycomplete.net
- DNS ASK ma####alaround.net
- DNS ASK se####lproud.net
- DNS ASK se####laround.net
- DNS ASK se####lwelcome.net
- DNS ASK ma####alwelcome.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
