Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Trap UPnP Topology Remote Extensible' = 'C:\tjottxoq\yttsjwhvb.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Filtering Function Redirector Hardware] 'ImagePath' = 'C:\tjottxoq\yttsjwhvb.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Filtering Function Redirector Hardware] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\tjottxoq\rtzyqqi.exe' "c:\tjottxoq\yttsjwhvb.exe"
- 'C:\tjottxoq\yttsjwhvb.exe'
- 'C:\tjottxoq\bydj3jawygubpf4sidaf.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\tjottxoq\yttsjwhvb.exe
- C:\tjottxoq\rtzyqqi.exe
- C:\tjottxoq\bydj3jawygubpf4sidaf.exe
- %WINDIR%\tjottxoq\sfk7odswnpbb
- C:\tjottxoq\sfk7odswnpbb
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\tjottxoq\rtzyqqi.exe
- C:\tjottxoq\yttsjwhvb.exe
Удаляет следующие файлы:
- C:\tjottxoq\bydj3jawygubpf4sidaf.exe
- %WINDIR%\tjottxoq\sfk7odswnpbb
Подменяет следующие файлы:
- %WINDIR%\tjottxoq\sfk7odswnpbb
Сетевая активность:
Подключается к:
- 'fa####eearly.net':80
- 'ch####enpublic.net':80
- 'fa####public.net':80
- 'ch####encatch.net':80
- 'fa###ycatch.net':80
- 'ch####eneearly.net':80
- 'ch####endress.net':80
- 'ei####eearly.net':80
- 'en####heearly.net':80
- 'ei####public.net':80
- 'fa###ydress.net':80
- 'ei###rcatch.net':80
- 'en####hcatch.net':80
- 'ci####ttedress.net':80
- 'th####public.net':80
- 'fi###edress.net':80
- 'th###hdress.net':80
- 'fi####eearly.net':80
- 'th####eearly.net':80
- 'fi####public.net':80
- 'pi####ecatch.net':80
- 'pi####epublic.net':80
- 'ci####ttepublic.net':80
- 'pi####edress.net':80
- 'ci####ttecatch.net':80
- 'pi####eeearly.net':80
- 'ci####tteeearly.net':80
TCP:
Запросы HTTP GET:
- http://fa####eearly.net/index.php
- http://ch####enpublic.net/index.php
- http://fa####public.net/index.php
- http://ch####encatch.net/index.php
- http://fa###ycatch.net/index.php
- http://ch####eneearly.net/index.php
- http://ch####endress.net/index.php
- http://ei####eearly.net/index.php
- http://en####heearly.net/index.php
- http://ei####public.net/index.php
- http://fa###ydress.net/index.php
- http://ei###rcatch.net/index.php
- http://en####hcatch.net/index.php
- http://ci####ttedress.net/index.php
- http://th####public.net/index.php
- http://fi###edress.net/index.php
- http://th###hdress.net/index.php
- http://fi####eearly.net/index.php
- http://th####eearly.net/index.php
- http://fi####public.net/index.php
- http://pi####ecatch.net/index.php
- http://pi####epublic.net/index.php
- http://ci####ttepublic.net/index.php
- http://pi####edress.net/index.php
- http://ci####ttecatch.net/index.php
- http://pi####eeearly.net/index.php
- http://ci####tteeearly.net/index.php
UDP:
- DNS ASK ch####enpublic.net
- DNS ASK fa####public.net
- DNS ASK ch####endress.net
- DNS ASK fa####eearly.net
- DNS ASK ch####encatch.net
- DNS ASK fa###ycatch.net
- DNS ASK ch####eneearly.net
- DNS ASK en####heearly.net
- DNS ASK ei####public.net
- DNS ASK en####hpublic.net
- DNS ASK ei####eearly.net
- DNS ASK fa###ydress.net
- DNS ASK ei###rcatch.net
- DNS ASK en####hcatch.net
- DNS ASK fi###edress.net
- DNS ASK th###hdress.net
- DNS ASK pi####ecatch.net
- DNS ASK th####public.net
- DNS ASK fi####eearly.net
- DNS ASK th####eearly.net
- DNS ASK fi####public.net
- DNS ASK ci####ttepublic.net
- DNS ASK pi####edress.net
- DNS ASK ci####ttedress.net
- DNS ASK pi####epublic.net
- DNS ASK ci####ttecatch.net
- DNS ASK pi####eeearly.net
- DNS ASK ci####tteeearly.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
