Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Offline Parental Service Image Mapper Fax' = 'C:\xcxhvkhelsomkgx\mywhqyjis.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Resource Event Function] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\xcxhvkhelsomkgx\vrhgcklqrz.exe' "c:\xcxhvkhelsomkgx\mywhqyjis.exe"
- 'C:\xcxhvkhelsomkgx\mywhqyjis.exe'
- 'C:\xcxhvkhelsomkgx\jt3hyayxrmmj9v.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\xcxhvkhelsomkgx\mywhqyjis.exe
- C:\xcxhvkhelsomkgx\vrhgcklqrz.exe
- C:\xcxhvkhelsomkgx\jt3hyayxrmmj9v.exe
- %WINDIR%\xcxhvkhelsomkgx\xzwgztzrpc
- C:\xcxhvkhelsomkgx\xzwgztzrpc
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\xcxhvkhelsomkgx\vrhgcklqrz.exe
- C:\xcxhvkhelsomkgx\mywhqyjis.exe
Удаляет следующие файлы:
- C:\xcxhvkhelsomkgx\jt3hyayxrmmj9v.exe
- %WINDIR%\xcxhvkhelsomkgx\xzwgztzrpc
Сетевая активность:
Подключается к:
- 'sm###whose.net':80
- 'pa###except.net':80
- 'wo###whose.net':80
- 'wo####icycle.net':80
- 'sm####icycle.net':80
- 'pa####icycle.net':80
- 'fi####icycle.net':80
- 'fi###bridge.net':80
- 'fi###except.net':80
- 'pa###bridge.net':80
- 'wa####icycle.net':80
- 'th####twhose.net':80
- 'th####tbicycle.net':80
- 'th####tbridge.net':80
- 'wa###bridge.net':80
- 'wo###bridge.net':80
- 'sm###bridge.net':80
- 'sm###except.net':80
- 'wa###whose.net':80
- 'wo###except.net':80
TCP:
Запросы HTTP GET:
- http://sm###whose.net/index.php
- http://pa###except.net/index.php
- http://wo###whose.net/index.php
- http://wo####icycle.net/index.php
- http://sm####icycle.net/index.php
- http://pa####icycle.net/index.php
- http://fi####icycle.net/index.php
- http://fi###bridge.net/index.php
- http://fi###except.net/index.php
- http://pa###bridge.net/index.php
- http://wa####icycle.net/index.php
- http://th####twhose.net/index.php
- http://th####tbicycle.net/index.php
- http://th####tbridge.net/index.php
- http://wa###bridge.net/index.php
- http://wo###bridge.net/index.php
- http://sm###bridge.net/index.php
- http://sm###except.net/index.php
- http://wa###whose.net/index.php
- http://wo###except.net/index.php
UDP:
- DNS ASK pa###except.net
- DNS ASK fi###except.net
- DNS ASK sm###whose.net
- DNS ASK sm####icycle.net
- DNS ASK wo###whose.net
- DNS ASK fi####icycle.net
- DNS ASK pa###whose.net
- DNS ASK pa####icycle.net
- DNS ASK pa###bridge.net
- DNS ASK fi###bridge.net
- DNS ASK wo####icycle.net
- DNS ASK wa####icycle.net
- DNS ASK th####twhose.net
- DNS ASK th####tbicycle.net
- DNS ASK th####tbridge.net
- DNS ASK wa###bridge.net
- DNS ASK wo###bridge.net
- DNS ASK sm###bridge.net
- DNS ASK sm###except.net
- DNS ASK wa###whose.net
- DNS ASK wo###except.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
