Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Panel Endpoint Helper Backup COM' = '%APPDATA%\zhtolyglsroip\xeribxnvfy.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\zhtolyglsroip\ijbyypk.exe' "%APPDATA%\zhtolyglsroip\xeribxnvfy.exe"
- '%APPDATA%\zhtolyglsroip\xeribxnvfy.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\zhtolyglsroip\xeribxnvfy.ryzi3
- %APPDATA%\zhtolyglsroip\ijbyypk.exe
- %APPDATA%\zhtolyglsroip\xeribxnvfy.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\zhtolyglsroip\xeribxnvfy.exe
Сетевая активность:
Подключается к:
- 're#####lectricity.net':80
- 'br#####lectricity.net':80
- 'br####delight.net':80
- 'pr####eborrow.net':80
- 're####delight.net':80
- 'br####borrow.net':80
- 'fe####delight.net':80
- 're####borrow.net':80
- 're###ttrain.net':80
- 'br###ntrain.net':80
- 'de####borrow.net':80
- 'st####thborrow.net':80
- 'de####delight.net':80
- 'st####thtrain.net':80
- 'st####thdelight.net':80
- 'st#####helectricity.net':80
- 'de###etrain.net':80
- 'pr####etrain.net':80
- 'pr#####electricity.net':80
- 'pr####edelight.net':80
- 'de#####lectricity.net':80
- 'fe#####lectricity.net':80
- 'st#####ectricity.net':80
- 'mi###train.net':80
- 'mi#####ectricity.net':80
- 'mi####elight.net':80
- 'st####elight.net':80
- 'ev####gdelight.net':80
- 'bu####ngdelight.net':80
- 'st###borrow.net':80
- 'st###train.net':80
- 'mi###borrow.net':80
- 'do####borrow.net':80
- 'pr####delight.net':80
- 'do####delight.net':80
- 'fe####borrow.net':80
- 'do###etrain.net':80
- 'fe###wtrain.net':80
- 'do###rtrain.net':80
- 'pr####borrow.net':80
- 'pr###ytrain.net':80
- 'pr#####lectricity.net':80
- 'do#####lectricity.net':80
TCP:
Запросы HTTP GET:
- re#####lectricity.net/index.php?em################################################
- br#####lectricity.net/index.php?em################################################
- br####delight.net/index.php?em################################################
- pr####eborrow.net/index.php?em################################################
- re####delight.net/index.php?em################################################
- br####borrow.net/index.php?em################################################
- fe####delight.net/index.php?em################################################
- re####borrow.net/index.php?em################################################
- re###ttrain.net/index.php?em################################################
- br###ntrain.net/index.php?em################################################
- de####borrow.net/index.php?em################################################
- st####thborrow.net/index.php?em################################################
- de####delight.net/index.php?em################################################
- st####thtrain.net/index.php?em################################################
- st####thdelight.net/index.php?em################################################
- st#####helectricity.net/index.php?em################################################
- de###etrain.net/index.php?em################################################
- pr####etrain.net/index.php?em################################################
- pr#####electricity.net/index.php?em################################################
- pr####edelight.net/index.php?em################################################
- de#####lectricity.net/index.php?em################################################
- fe#####lectricity.net/index.php?em################################################
- st#####ectricity.net/index.php?em################################################
- mi###train.net/index.php?em################################################
- mi#####ectricity.net/index.php?em################################################
- mi####elight.net/index.php?em################################################
- st####elight.net/index.php?em################################################
- ev####gdelight.net/index.php?em################################################
- bu####ngdelight.net/index.php?em################################################
- st###borrow.net/index.php?em################################################
- st###train.net/index.php?em################################################
- mi###borrow.net/index.php?em################################################
- do####borrow.net/index.php?em################################################
- pr####delight.net/index.php?em################################################
- do####delight.net/index.php?em################################################
- fe####borrow.net/index.php?em################################################
- do###etrain.net/index.php?em################################################
- fe###wtrain.net/index.php?em################################################
- do###rtrain.net/index.php?em################################################
- pr####borrow.net/index.php?em################################################
- pr###ytrain.net/index.php?em################################################
- pr#####lectricity.net/index.php?em################################################
- do#####lectricity.net/index.php?em################################################
UDP:
- DNS ASK re#####lectricity.net
- DNS ASK br#####lectricity.net
- DNS ASK br####delight.net
- DNS ASK pr####eborrow.net
- DNS ASK re####delight.net
- DNS ASK br####borrow.net
- DNS ASK fe####delight.net
- DNS ASK re####borrow.net
- DNS ASK re###ttrain.net
- DNS ASK br###ntrain.net
- DNS ASK de####borrow.net
- DNS ASK st####thborrow.net
- DNS ASK de####delight.net
- DNS ASK st####thtrain.net
- DNS ASK st####thdelight.net
- DNS ASK st#####helectricity.net
- DNS ASK de###etrain.net
- DNS ASK pr####etrain.net
- DNS ASK pr#####electricity.net
- DNS ASK pr####edelight.net
- DNS ASK de#####lectricity.net
- DNS ASK fe#####lectricity.net
- DNS ASK st#####ectricity.net
- DNS ASK mi###train.net
- DNS ASK mi#####ectricity.net
- DNS ASK mi####elight.net
- DNS ASK st####elight.net
- DNS ASK ev####gdelight.net
- DNS ASK bu####ngdelight.net
- DNS ASK st###borrow.net
- DNS ASK st###train.net
- DNS ASK mi###borrow.net
- DNS ASK do####borrow.net
- DNS ASK pr####delight.net
- DNS ASK do####delight.net
- DNS ASK fe####borrow.net
- DNS ASK do###etrain.net
- DNS ASK fe###wtrain.net
- DNS ASK do###rtrain.net
- DNS ASK pr####borrow.net
- DNS ASK pr###ytrain.net
- DNS ASK pr#####lectricity.net
- DNS ASK do#####lectricity.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
