Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Initiator User-mode DCOM' = '%APPDATA%\eljjuse\lzkrvylogy.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\eljjuse\xscfpff.exe' "%APPDATA%\eljjuse\lzkrvylogy.exe"
- '%APPDATA%\eljjuse\lzkrvylogy.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\eljjuse\lzkrvylogy.xmqfk
- %APPDATA%\eljjuse\xscfpff.exe
- %APPDATA%\eljjuse\lzkrvylogy.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\eljjuse\lzkrvylogy.exe
Сетевая активность:
Подключается к:
- 'be###gpower.net':80
- 'ri###npower.net':80
- 'be####country.net':80
- 'ri####country.net':80
- 'be####century.net':80
- 'ri####century.net':80
- 'be####famous.net':80
- 'ri####famous.net':80
- 'ch####entury.net':80
- 'ch####ountry.net':80
- 'th###power.net':80
- 'wi####century.net':80
- 'th####ountry.net':80
- 'ch###famous.net':80
- 'th####entury.net':80
- 'ch###power.net':80
- 'th###famous.net':80
- 'li####country.net':80
- 'hu####dfamous.net':80
- 'jo####yfamous.net':80
- 'hu####dpower.net':80
- 'jo####ypower.net':80
- 're#####rcondition.net':80
- 'wo####ondition.net':80
- 'hu####dcentury.net':80
- 'jo####ycentury.net':80
- 'jo####ycountry.net':80
- 'de####ypower.net':80
- 'li####famous.net':80
- 'de####ycountry.net':80
- 'li###epower.net':80
- 'de####ycentury.net':80
- 'hu####dcountry.net':80
- 'de####yfamous.net':80
- 'li####century.net':80
TCP:
Запросы HTTP GET:
- be###gpower.net/index.php?em###########################################
- ri###npower.net/index.php?em###########################################
- be####country.net/index.php?em###########################################
- ri####country.net/index.php?em###########################################
- be####century.net/index.php?em###########################################
- ri####century.net/index.php?em###########################################
- be####famous.net/index.php?em###########################################
- ri####famous.net/index.php?em###########################################
- ch####entury.net/index.php?em###########################################
- ch####ountry.net/index.php?em###########################################
- th###power.net/index.php?em###########################################
- wi####century.net/index.php?em###########################################
- th####ountry.net/index.php?em###########################################
- ch###famous.net/index.php?em###########################################
- th####entury.net/index.php?em###########################################
- ch###power.net/index.php?em###########################################
- th###famous.net/index.php?em###########################################
- li####country.net/index.php?em###########################################
- hu####dfamous.net/index.php?em###########################################
- jo####yfamous.net/index.php?em###########################################
- hu####dpower.net/index.php?em###########################################
- jo####ypower.net/index.php?em###########################################
- re#####rcondition.net/index.php?em###########################################
- wo####ondition.net/index.php?em###########################################
- hu####dcentury.net/index.php?em###########################################
- jo####ycentury.net/index.php?em###########################################
- jo####ycountry.net/index.php?em###########################################
- de####ypower.net/index.php?em###########################################
- li####famous.net/index.php?em###########################################
- de####ycountry.net/index.php?em###########################################
- li###epower.net/index.php?em###########################################
- de####ycentury.net/index.php?em###########################################
- hu####dcountry.net/index.php?em###########################################
- de####yfamous.net/index.php?em###########################################
- li####century.net/index.php?em###########################################
UDP:
- DNS ASK be###gpower.net
- DNS ASK ri###npower.net
- DNS ASK be####country.net
- DNS ASK ri####country.net
- DNS ASK be####century.net
- DNS ASK ri####century.net
- DNS ASK be####famous.net
- DNS ASK ri####famous.net
- DNS ASK ch####entury.net
- DNS ASK ch####ountry.net
- DNS ASK th###power.net
- DNS ASK wi####century.net
- DNS ASK th####ountry.net
- DNS ASK ch###famous.net
- DNS ASK th####entury.net
- DNS ASK ch###power.net
- DNS ASK th###famous.net
- DNS ASK li####country.net
- DNS ASK hu####dfamous.net
- DNS ASK jo####yfamous.net
- DNS ASK hu####dpower.net
- DNS ASK jo####ypower.net
- DNS ASK re#####rcondition.net
- DNS ASK wo####ondition.net
- DNS ASK hu####dcentury.net
- DNS ASK jo####ycentury.net
- DNS ASK jo####ycountry.net
- DNS ASK de####ypower.net
- DNS ASK li####famous.net
- DNS ASK de####ycountry.net
- DNS ASK li###epower.net
- DNS ASK de####ycentury.net
- DNS ASK hu####dcountry.net
- DNS ASK de####yfamous.net
- DNS ASK li####century.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
