Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command] '' = '"<LS_APPDATA>\xew.exe" -a "%PROGRAM_FILES%\Internet Explorer\iexplore.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '744092080' = '<LS_APPDATA>\xew.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '<SYSTEM32>\ctfmon.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- <LS_APPDATA>\xew.exe -gav <Полный путь к вирусу>
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\8nf82la0247x3wn578f82260hgtuw0688
- %HOMEPATH%\Templates\8nf82la0247x3wn578f82260hgtuw0688
- %ALLUSERSPROFILE%\Application Data\8nf82la0247x3wn578f82260hgtuw0688
- <LS_APPDATA>\xew.exe
- <LS_APPDATA>\8nf82la0247x3wn578f82260hgtuw0688
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ca####qakaha.com':80
- 'xi###imir.com':80
- 'ki###ybuw.com':80
- 'di###asyl.com':80
- 'mo####bomisa.com':80
- 'gu###ebus.com':80
- 'la####wexedemu.com':80
- 'gi###yjedud.com':80
- 'ca####gurewipu.com':80
- 'fu###yryti.com':80
- 'wi####vorimic.com':80
- 'bu###ebalu.com':80
- 'de####kyqepe.com':80
- 'ku####dolujyno.com':80
- 'mo####zyrosive.com':80
- 'vy####jamobu.com':80
- 'je####pyqohy.com':80
- 'la###ezafeq.com':80
- 'to###exyli.com':80
- 've####neloqyta.com':80
- 'vi###epidy.com':80
- 'ne###unetet.com':80
UDP:
- DNS ASK la####wexedemu.com
- DNS ASK gi###yjedud.com
- DNS ASK po###ahid.com
- DNS ASK ca####gurewipu.com
- DNS ASK fu###yryti.com
- DNS ASK gu###ebus.com
- DNS ASK wi####vorimic.com
- DNS ASK ji####cilelum.com
- DNS ASK ce###ihum.com
- DNS ASK li####sumaca.com
- DNS ASK microsoft.com
- DNS ASK lu###iduw.com
- DNS ASK ku###akurol.com
- DNS ASK ke####cacylofi.com
- DNS ASK ho###ameg.com
- DNS ASK ca####qakaha.com
- DNS ASK de####kyqepe.com
- DNS ASK je####pyqohy.com
- DNS ASK vi###epidy.com
- DNS ASK bu###ebalu.com
- DNS ASK mo####zyrosive.com
- DNS ASK vy####jamobu.com
- DNS ASK ku####dolujyno.com
- DNS ASK ne###unetet.com
- DNS ASK ki###ybuw.com
- DNS ASK di###asyl.com
- DNS ASK mo####bomisa.com
- DNS ASK xi###imir.com
- DNS ASK ve####neloqyta.com
- DNS ASK la###ezafeq.com
- DNS ASK to###exyli.com
- '<IP-адрес в локальной сети>':1055
- '<IP-адрес в локальной сети>':1053
- '<IP-адрес в локальной сети>':1064
- '<IP-адрес в локальной сети>':1059
- '<IP-адрес в локальной сети>':1057
- '<IP-адрес в локальной сети>':1058
- '<IP-адрес в локальной сети>':1056
- '<IP-адрес в локальной сети>':1047
- '<IP-адрес в локальной сети>':1063
- '<IP-адрес в локальной сети>':1061
- '<IP-адрес в локальной сети>':1054
- '<IP-адрес в локальной сети>':1060
- '<IP-адрес в локальной сети>':1045
- '<IP-адрес в локальной сети>':1050
- '<IP-адрес в локальной сети>':1051
- '<IP-адрес в локальной сети>':1041
- '<IP-адрес в локальной сети>':1035
- '<IP-адрес в локальной сети>':1037
- '<IP-адрес в локальной сети>':1043
- '<IP-адрес в локальной сети>':1038
- '<IP-адрес в локальной сети>':1042
- '<IP-адрес в локальной сети>':1040
- '<IP-адрес в локальной сети>':1039
- '<IP-адрес в локальной сети>':1049
- '<IP-адрес в локальной сети>':1048
- '<IP-адрес в локальной сети>':1052
- '<IP-адрес в локальной сети>':1046
- '<IP-адрес в локальной сети>':1044
- '<IP-адрес в локальной сети>':1036
- '<IP-адрес в локальной сети>':1062
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'msascui_class' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
