Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Defragmenter Service Installer BitLocker' = '%APPDATA%\dwiulnux\ozdagngbn.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\dwiulnux\gysdktif.exe' "%APPDATA%\dwiulnux\ozdagngbn.exe"
- '%APPDATA%\dwiulnux\ozdagngbn.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\dwiulnux\ozdagngbn.fmw
- %APPDATA%\dwiulnux\gysdktif.exe
- %APPDATA%\dwiulnux\ozdagngbn.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\dwiulnux\ozdagngbn.exe
Сетевая активность:
Подключается к:
- 'he####believe.net':80
- 'le####receive.net':80
- 'he####receive.net':80
- 'le####believe.net':80
- 're####equarter.net':80
- 'le####branch.net':80
- 'he####branch.net':80
- 'le####quarter.net':80
- 'ge####believe.net':80
- 'he####eceive.net':80
- 'ge####receive.net':80
- 'he####elieve.net':80
- 'he####quarter.net':80
- 'he###branch.net':80
- 'ge####branch.net':80
- 'pl####ntreceive.net':80
- 'ne#####ryreceive.net':80
- 'pl####ntquarter.net':80
- 'ne#####rybelieve.net':80
- 'pl####ntbranch.net':80
- 'ne####arybranch.net':80
- 'pl####ntbelieve.net':80
- 'ne#####ryquarter.net':80
- 'or####eceive.net':80
- 're####ereceive.net':80
- 'or####uarter.net':80
- 're####ebelieve.net':80
- 'or###branch.net':80
- 're####ebranch.net':80
- 'or####elieve.net':80
TCP:
Запросы HTTP GET:
- he####believe.net/index.php?em########################################
- le####receive.net/index.php?em########################################
- he####receive.net/index.php?em########################################
- le####believe.net/index.php?em########################################
- re####equarter.net/index.php?em########################################
- le####branch.net/index.php?em########################################
- he####branch.net/index.php?em########################################
- le####quarter.net/index.php?em########################################
- ge####believe.net/index.php?em########################################
- he####eceive.net/index.php?em########################################
- ge####receive.net/index.php?em########################################
- he####elieve.net/index.php?em########################################
- he####quarter.net/index.php?em########################################
- he###branch.net/index.php?em########################################
- ge####branch.net/index.php?em########################################
- pl####ntreceive.net/index.php?em########################################
- ne#####ryreceive.net/index.php?em########################################
- pl####ntquarter.net/index.php?em########################################
- ne#####rybelieve.net/index.php?em########################################
- pl####ntbranch.net/index.php?em########################################
- ne####arybranch.net/index.php?em########################################
- pl####ntbelieve.net/index.php?em########################################
- ne#####ryquarter.net/index.php?em########################################
- or####eceive.net/index.php?em########################################
- re####ereceive.net/index.php?em########################################
- or####uarter.net/index.php?em########################################
- re####ebelieve.net/index.php?em########################################
- or###branch.net/index.php?em########################################
- re####ebranch.net/index.php?em########################################
- or####elieve.net/index.php?em########################################
UDP:
- DNS ASK le####receive.net
- DNS ASK he####receive.net
- DNS ASK le####quarter.net
- DNS ASK he####believe.net
- DNS ASK le####branch.net
- DNS ASK he####branch.net
- DNS ASK le####believe.net
- DNS ASK he####quarter.net
- DNS ASK he####eceive.net
- DNS ASK ge####receive.net
- DNS ASK he####uarter.net
- DNS ASK ge####believe.net
- DNS ASK he###branch.net
- DNS ASK ge####branch.net
- DNS ASK he####elieve.net
- DNS ASK re####equarter.net
- DNS ASK pl####ntreceive.net
- DNS ASK ne#####ryreceive.net
- DNS ASK pl####ntquarter.net
- DNS ASK ne#####rybelieve.net
- DNS ASK pl####ntbranch.net
- DNS ASK ne####arybranch.net
- DNS ASK pl####ntbelieve.net
- DNS ASK ne#####ryquarter.net
- DNS ASK or####eceive.net
- DNS ASK re####ereceive.net
- DNS ASK or####uarter.net
- DNS ASK re####ebelieve.net
- DNS ASK or###branch.net
- DNS ASK re####ebranch.net
- DNS ASK or####elieve.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
