Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Client IKE Netlogon Gateway iSCSI' = '<LS_APPDATA>\mflbgbc\tmuozhuxhhqw.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\mflbgbc\hdpnwss.exe' "<LS_APPDATA>\mflbgbc\tmuozhuxhhqw.exe"
- '<LS_APPDATA>\mflbgbc\tmuozhuxhhqw.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\mflbgbc\tmuozhuxhhqw.bai
- <LS_APPDATA>\mflbgbc\hdpnwss.exe
- <LS_APPDATA>\mflbgbc\tmuozhuxhhqw.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <LS_APPDATA>\mflbgbc\hdpnwss.exe
- <LS_APPDATA>\mflbgbc\tmuozhuxhhqw.exe
Сетевая активность:
Подключается к:
- 'cl###bright.net':80
- 'th###bright.net':80
- 'cl####xplain.net':80
- 'th###ready.net':80
- 'cl###inside.net':80
- 'th###inside.net':80
- 'th####xplain.net':80
- 'am####inside.net':80
- 'we####rbright.net':80
- 'am####bright.net':80
- 'cl####nstead.net':80
- 'th####nstead.net':80
- 'we####rinside.net':80
- 'ch###brown.net':80
- 'co####eready.net':80
- 'ch###ready.net':80
- 'co####epeople.net':80
- 'ch###people.net':80
- 'co####ebrown.net':80
- 'pr####tdaughter.net':80
- 'pr####tbrown.net':80
- 'th###brown.net':80
- 'pr####tready.net':80
- 'th####aughter.net':80
- 'pr####tpeople.net':80
- 'th###people.net':80
- 'mo####gexplain.net':80
- 'ra####explain.net':80
- 'mo####ginstead.net':80
- 'ra####inside.net':80
- 'mo####gbright.net':80
- 'ra####bright.net':80
- 'ra####instead.net':80
- 'mi####bright.net':80
- 'tw####explain.net':80
- 'mi####explain.net':80
- 'tw####inside.net':80
- 'mi####inside.net':80
- 'tw####bright.net':80
- 'am####instead.net':80
- 'hi####yinside.net':80
- 'st####einside.net':80
- 'we####rexplain.net':80
- 'am####explain.net':80
- 'we####rinstead.net':80
- 'hi####ybright.net':80
- 'hi####yinstead.net':80
- 'st####einstead.net':80
- 'mo####ginside.net':80
- 'st####ebright.net':80
- 'hi####yexplain.net':80
- 'st####eexplain.net':80
TCP:
Запросы HTTP GET:
- cl###bright.net/forum/search.php?em##########################################################
- th###bright.net/forum/search.php?em##########################################################
- cl####xplain.net/forum/search.php?em##########################################################
- th###ready.net/forum/search.php?em##########################################################
- cl###inside.net/forum/search.php?em##########################################################
- th###inside.net/forum/search.php?em##########################################################
- th####xplain.net/forum/search.php?em##########################################################
- am####inside.net/forum/search.php?em##########################################################
- we####rbright.net/forum/search.php?em##########################################################
- am####bright.net/forum/search.php?em##########################################################
- cl####nstead.net/forum/search.php?em##########################################################
- th####nstead.net/forum/search.php?em##########################################################
- we####rinside.net/forum/search.php?em##########################################################
- ch###brown.net/forum/search.php?em##########################################################
- co####eready.net/forum/search.php?em##########################################################
- ch###ready.net/forum/search.php?em##########################################################
- co####epeople.net/forum/search.php?em##########################################################
- ch###people.net/forum/search.php?em##########################################################
- co####ebrown.net/forum/search.php?em##########################################################
- pr####tdaughter.net/forum/search.php?em##########################################################
- pr####tbrown.net/forum/search.php?em##########################################################
- th###brown.net/forum/search.php?em##########################################################
- pr####tready.net/forum/search.php?em##########################################################
- th####aughter.net/forum/search.php?em##########################################################
- pr####tpeople.net/forum/search.php?em##########################################################
- th###people.net/forum/search.php?em##########################################################
- mo####gexplain.net/forum/search.php?em##########################################################
- ra####explain.net/forum/search.php?em##########################################################
- mo####ginstead.net/forum/search.php?em##########################################################
- ra####inside.net/forum/search.php?em##########################################################
- mo####gbright.net/forum/search.php?em##########################################################
- ra####bright.net/forum/search.php?em##########################################################
- ra####instead.net/forum/search.php?em##########################################################
- mi####bright.net/forum/search.php?em##########################################################
- tw####explain.net/forum/search.php?em##########################################################
- mi####explain.net/forum/search.php?em##########################################################
- tw####inside.net/forum/search.php?em##########################################################
- mi####inside.net/forum/search.php?em##########################################################
- tw####bright.net/forum/search.php?em##########################################################
- am####instead.net/forum/search.php?em##########################################################
- hi####yinside.net/forum/search.php?em##########################################################
- st####einside.net/forum/search.php?em##########################################################
- we####rexplain.net/forum/search.php?em##########################################################
- am####explain.net/forum/search.php?em##########################################################
- we####rinstead.net/forum/search.php?em##########################################################
- hi####ybright.net/forum/search.php?em##########################################################
- hi####yinstead.net/forum/search.php?em##########################################################
- st####einstead.net/forum/search.php?em##########################################################
- mo####ginside.net/forum/search.php?em##########################################################
- st####ebright.net/forum/search.php?em##########################################################
- hi####yexplain.net/forum/search.php?em##########################################################
- st####eexplain.net/forum/search.php?em##########################################################
UDP:
- DNS ASK th###inside.net
- DNS ASK cl###bright.net
- DNS ASK th###bright.net
- DNS ASK pr####tready.net
- DNS ASK th###ready.net
- DNS ASK cl###inside.net
- DNS ASK cl####xplain.net
- DNS ASK we####rinside.net
- DNS ASK am####inside.net
- DNS ASK we####rbright.net
- DNS ASK th####xplain.net
- DNS ASK cl####nstead.net
- DNS ASK th####nstead.net
- DNS ASK co####ebrown.net
- DNS ASK ch###brown.net
- DNS ASK co####eready.net
- DNS ASK ch####aughter.net
- DNS ASK co####epeople.net
- DNS ASK ch###people.net
- DNS ASK ch###ready.net
- DNS ASK th###people.net
- DNS ASK pr####tbrown.net
- DNS ASK th###brown.net
- DNS ASK pr####tdaughter.net
- DNS ASK th####aughter.net
- DNS ASK pr####tpeople.net
- DNS ASK am####bright.net
- DNS ASK mo####gexplain.net
- DNS ASK ra####explain.net
- DNS ASK mo####ginstead.net
- DNS ASK ra####inside.net
- DNS ASK mo####gbright.net
- DNS ASK ra####bright.net
- DNS ASK ra####instead.net
- DNS ASK mi####bright.net
- DNS ASK tw####explain.net
- DNS ASK mi####explain.net
- DNS ASK tw####inside.net
- DNS ASK mi####inside.net
- DNS ASK tw####bright.net
- DNS ASK am####instead.net
- DNS ASK hi####yinside.net
- DNS ASK st####einside.net
- DNS ASK we####rexplain.net
- DNS ASK am####explain.net
- DNS ASK we####rinstead.net
- DNS ASK hi####ybright.net
- DNS ASK hi####yinstead.net
- DNS ASK st####einstead.net
- DNS ASK mo####ginside.net
- DNS ASK st####ebright.net
- DNS ASK hi####yexplain.net
- DNS ASK st####eexplain.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
