Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Secure Background' = '%APPDATA%\iohmtkier\lgycekuqkamg.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\iohmtkier\endzmqkomp.exe' "%APPDATA%\iohmtkier\lgycekuqkamg.exe"
- '%APPDATA%\iohmtkier\lgycekuqkamg.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\iohmtkier\lgycekuqkamg.gwfpg
- %APPDATA%\iohmtkier\endzmqkomp.exe
- %APPDATA%\iohmtkier\lgycekuqkamg.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\iohmtkier\lgycekuqkamg.exe
Сетевая активность:
Подключается к:
- 'fo####dyellow.net':80
- 'de###eclose.net':80
- 'de####yellow.net':80
- 'de####travel.net':80
- 'fo####dtravel.net':80
- 'an####travel.net':80
- 'gl###travel.net':80
- 'gl###space.net':80
- 'fo####dclose.net':80
- 'an###rspace.net':80
- 're###nthird.net':80
- 'va####sobject.net':80
- 'va####sthird.net':80
- 'va####sstation.net':80
- 're####station.net':80
- 'de###espace.net':80
- 'fo####dspace.net':80
- 're####childhood.net':80
- 're####object.net':80
- 'va#####childhood.net':80
- 'ne####aryspace.net':80
- 'pl####nttravel.net':80
- 'pl####ntspace.net':80
- 'di####ultclose.net':80
- 'he###close.net':80
- 'pl####ntclose.net':80
- 'ne####aryclose.net':80
- 'ne####aryyellow.net':80
- 'ne####arytravel.net':80
- 'pl####ntyellow.net':80
- 'gl###close.net':80
- 'di####ultspace.net':80
- 'an###rclose.net':80
- 'an####yellow.net':80
- 'gl###yellow.net':80
- 'di####ultyellow.net':80
- 'he###yellow.net':80
- 'he###travel.net':80
- 'he###space.net':80
- 'di####ulttravel.net':80
- 'ge####childhood.net':80
- 'pl####ntstation.net':80
- 'ne#####rystation.net':80
- 'he####hildhood.net':80
- 'he###object.net':80
- 'di#####ltchildhood.net':80
- 'ne####aryobject.net':80
- 'pl#####tchildhood.net':80
- 'pl####ntobject.net':80
- 'pl####ntthird.net':80
- 'ne####arythird.net':80
- 'an####childhood.net':80
- 'gl####hildhood.net':80
- 'gl###object.net':80
- 'gl###third.net':80
- 'an####object.net':80
- 'he###third.net':80
- 'di####ultobject.net':80
- 'di####ultthird.net':80
- 'di#####ltstation.net':80
- 'he####tation.net':80
- 'le####object.net':80
- 'he####object.net':80
- 'he###nthird.net':80
- 'he####station.net':80
- 'le###rthird.net':80
- 'ge###ethird.net':80
- 'ge####object.net':80
- 'ge####station.net':80
- 'le####childhood.net':80
- 'he####childhood.net':80
- 'or###third.net':80
- 're####ethird.net':80
- 're####estation.net':80
- 'ne#####rychildhood.net':80
- 'or####tation.net':80
- 're#####childhood.net':80
- 'le####station.net':80
- 'or####hildhood.net':80
- 'or###object.net':80
- 're####eobject.net':80
TCP:
Запросы HTTP GET:
- http://fo####dyellow.net/index.php?em#####################################
- http://de###eclose.net/index.php?em#####################################
- http://de####yellow.net/index.php?em#####################################
- http://de####travel.net/index.php?em#####################################
- http://fo####dtravel.net/index.php?em#####################################
- http://an####travel.net/index.php?em#####################################
- http://gl###travel.net/index.php?em#####################################
- http://gl###space.net/index.php?em#####################################
- http://fo####dclose.net/index.php?em#####################################
- http://an###rspace.net/index.php?em#####################################
- http://re###nthird.net/index.php?em#####################################
- http://va####sobject.net/index.php?em#####################################
- http://va####sthird.net/index.php?em#####################################
- http://va####sstation.net/index.php?em#####################################
- http://re####station.net/index.php?em#####################################
- http://de###espace.net/index.php?em#####################################
- http://fo####dspace.net/index.php?em#####################################
- http://re####childhood.net/index.php?em#####################################
- http://re####object.net/index.php?em#####################################
- http://va#####childhood.net/index.php?em#####################################
- http://ne####aryspace.net/index.php?em#####################################
- http://pl####nttravel.net/index.php?em#####################################
- http://pl####ntspace.net/index.php?em#####################################
- http://di####ultclose.net/index.php?em#####################################
- http://he###close.net/index.php?em#####################################
- http://pl####ntclose.net/index.php?em#####################################
- http://ne####aryclose.net/index.php?em#####################################
- http://ne####aryyellow.net/index.php?em#####################################
- http://ne####arytravel.net/index.php?em#####################################
- http://pl####ntyellow.net/index.php?em#####################################
- http://gl###close.net/index.php?em#####################################
- http://di####ultspace.net/index.php?em#####################################
- http://an###rclose.net/index.php?em#####################################
- http://an####yellow.net/index.php?em#####################################
- http://gl###yellow.net/index.php?em#####################################
- http://di####ultyellow.net/index.php?em#####################################
- http://he###yellow.net/index.php?em#####################################
- http://he###travel.net/index.php?em#####################################
- http://he###space.net/index.php?em#####################################
- http://di####ulttravel.net/index.php?em#####################################
- http://ge####childhood.net/index.php?em#####################################
- http://pl####ntstation.net/index.php?em#####################################
- http://ne#####rystation.net/index.php?em#####################################
- http://he####hildhood.net/index.php?em#####################################
- http://he###object.net/index.php?em#####################################
- http://di#####ltchildhood.net/index.php?em#####################################
- http://ne####aryobject.net/index.php?em#####################################
- http://pl#####tchildhood.net/index.php?em#####################################
- http://pl####ntobject.net/index.php?em#####################################
- http://pl####ntthird.net/index.php?em#####################################
- http://ne####arythird.net/index.php?em#####################################
- http://an####childhood.net/index.php?em#####################################
- http://gl####hildhood.net/index.php?em#####################################
- http://gl###object.net/index.php?em#####################################
- http://gl###third.net/index.php?em#####################################
- http://an####object.net/index.php?em#####################################
- http://he###third.net/index.php?em#####################################
- http://di####ultobject.net/index.php?em#####################################
- http://di####ultthird.net/index.php?em#####################################
- http://di#####ltstation.net/index.php?em#####################################
- http://he####tation.net/index.php?em#####################################
- http://le####object.net/index.php?em#####################################
- http://he####object.net/index.php?em#####################################
- http://he###nthird.net/index.php?em#####################################
- http://he####station.net/index.php?em#####################################
- http://le###rthird.net/index.php?em#####################################
- http://ge###ethird.net/index.php?em#####################################
- http://ge####object.net/index.php?em#####################################
- http://ge####station.net/index.php?em#####################################
- http://le####childhood.net/index.php?em#####################################
- http://he####childhood.net/index.php?em#####################################
- http://or###third.net/index.php?em#####################################
- http://re####ethird.net/index.php?em#####################################
- http://re####estation.net/index.php?em#####################################
- http://ne#####rychildhood.net/index.php?em#####################################
- http://or####tation.net/index.php?em#####################################
- http://re#####childhood.net/index.php?em#####################################
- http://le####station.net/index.php?em#####################################
- http://or####hildhood.net/index.php?em#####################################
- http://or###object.net/index.php?em#####################################
- http://re####eobject.net/index.php?em#####################################
UDP:
- DNS ASK fo####dyellow.net
- DNS ASK de###eclose.net
- DNS ASK de####yellow.net
- DNS ASK de####travel.net
- DNS ASK fo####dtravel.net
- DNS ASK an####travel.net
- DNS ASK gl###travel.net
- DNS ASK gl###space.net
- DNS ASK fo####dclose.net
- DNS ASK an###rspace.net
- DNS ASK re###nthird.net
- DNS ASK va####sobject.net
- DNS ASK va####sthird.net
- DNS ASK va####sstation.net
- DNS ASK re####station.net
- DNS ASK de###espace.net
- DNS ASK fo####dspace.net
- DNS ASK re####childhood.net
- DNS ASK re####object.net
- DNS ASK va#####childhood.net
- DNS ASK ne####aryspace.net
- DNS ASK pl####nttravel.net
- DNS ASK pl####ntspace.net
- DNS ASK di####ultclose.net
- DNS ASK he###close.net
- DNS ASK pl####ntclose.net
- DNS ASK ne####aryclose.net
- DNS ASK ne####aryyellow.net
- DNS ASK ne####arytravel.net
- DNS ASK pl####ntyellow.net
- DNS ASK gl###close.net
- DNS ASK di####ultspace.net
- DNS ASK an###rclose.net
- DNS ASK an####yellow.net
- DNS ASK gl###yellow.net
- DNS ASK di####ultyellow.net
- DNS ASK he###yellow.net
- DNS ASK he###travel.net
- DNS ASK he###space.net
- DNS ASK di####ulttravel.net
- DNS ASK ge####childhood.net
- DNS ASK pl####ntstation.net
- DNS ASK ne#####rystation.net
- DNS ASK he####hildhood.net
- DNS ASK he###object.net
- DNS ASK di#####ltchildhood.net
- DNS ASK ne####aryobject.net
- DNS ASK pl#####tchildhood.net
- DNS ASK pl####ntobject.net
- DNS ASK pl####ntthird.net
- DNS ASK ne####arythird.net
- DNS ASK an####childhood.net
- DNS ASK gl####hildhood.net
- DNS ASK gl###object.net
- DNS ASK gl###third.net
- DNS ASK an####object.net
- DNS ASK he###third.net
- DNS ASK di####ultobject.net
- DNS ASK di####ultthird.net
- DNS ASK di#####ltstation.net
- DNS ASK he####tation.net
- DNS ASK le####object.net
- DNS ASK he####object.net
- DNS ASK he###nthird.net
- DNS ASK he####station.net
- DNS ASK le###rthird.net
- DNS ASK ge###ethird.net
- DNS ASK ge####object.net
- DNS ASK ge####station.net
- DNS ASK le####childhood.net
- DNS ASK he####childhood.net
- DNS ASK or###third.net
- DNS ASK re####ethird.net
- DNS ASK re####estation.net
- DNS ASK ne#####rychildhood.net
- DNS ASK or####tation.net
- DNS ASK re#####childhood.net
- DNS ASK le####station.net
- DNS ASK or####hildhood.net
- DNS ASK or###object.net
- DNS ASK re####eobject.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
