Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Provider Process AutoConnect' = '%APPDATA%\psjrcguqa\dnusxeieigem.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\psjrcguqa\gumyqtbnmkk.exe' "%APPDATA%\psjrcguqa\dnusxeieigem.exe"
- '%APPDATA%\psjrcguqa\dnusxeieigem.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\psjrcguqa\dnusxeieigem.ptiku
- %APPDATA%\psjrcguqa\gumyqtbnmkk.exe
- %APPDATA%\psjrcguqa\dnusxeieigem.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\psjrcguqa\dnusxeieigem.exe
Сетевая активность:
Подключается к:
- 'tw####therefore.net':80
- 'mi####therefore.net':80
- 'ra####school.net':80
- 'ra###rwhile.net':80
- 'mo####gschool.net':80
- 'tw####question.net':80
- 'tw####school.net':80
- 'mi####school.net':80
- 'mi###ewhile.net':80
- 'mi####question.net':80
- 'tw###ewhile.net':80
- 'st####ewhile.net':80
- 'hi####yschool.net':80
- 'hi####ywhile.net':80
- 'hi####yquestion.net':80
- 'st####equestion.net':80
- 'st####eschool.net':80
- 'ra####question.net':80
- 'mo####gwhile.net':80
- 'mo####gquestion.net':80
- 'mo#####therefore.net':80
- 'ra####therefore.net':80
- 'al####herefore.net':80
- 'ch###school.net':80
- 'pr#####therefore.net':80
- 'co####eschool.net':80
- 'co####ewhile.net':80
- 'ch###while.net':80
- 'th####herefore.net':80
- 'th###while.net':80
- 'pr####tschool.net':80
- 'pr####twhile.net':80
- 'pr####tquestion.net':80
- 'th####uestion.net':80
- 'al###while.net':80
- 'of###while.net':80
- 'of####uestion.net':80
- 'of####herefore.net':80
- 'al####uestion.net':80
- 'al###school.net':80
- 'co####equestion.net':80
- 'ch####uestion.net':80
- 'ch####herefore.net':80
- 'of###school.net':80
- 'co#####therefore.net':80
TCP:
Запросы HTTP GET:
- tw####therefore.net/index.php?em##############################################
- mi####therefore.net/index.php?em##############################################
- ra####school.net/index.php?em##############################################
- ra###rwhile.net/index.php?em##############################################
- mo####gschool.net/index.php?em##############################################
- tw####question.net/index.php?em##############################################
- tw####school.net/index.php?em##############################################
- mi####school.net/index.php?em##############################################
- mi###ewhile.net/index.php?em##############################################
- mi####question.net/index.php?em##############################################
- tw###ewhile.net/index.php?em##############################################
- st####ewhile.net/index.php?em##############################################
- hi####yschool.net/index.php?em##############################################
- hi####ywhile.net/index.php?em##############################################
- hi####yquestion.net/index.php?em##############################################
- st####equestion.net/index.php?em##############################################
- st####eschool.net/index.php?em##############################################
- ra####question.net/index.php?em##############################################
- mo####gwhile.net/index.php?em##############################################
- mo####gquestion.net/index.php?em##############################################
- mo#####therefore.net/index.php?em##############################################
- ra####therefore.net/index.php?em##############################################
- al####herefore.net/index.php?em##############################################
- ch###school.net/index.php?em##############################################
- pr#####therefore.net/index.php?em##############################################
- co####eschool.net/index.php?em##############################################
- co####ewhile.net/index.php?em##############################################
- ch###while.net/index.php?em##############################################
- th####herefore.net/index.php?em##############################################
- th###while.net/index.php?em##############################################
- pr####tschool.net/index.php?em##############################################
- pr####twhile.net/index.php?em##############################################
- pr####tquestion.net/index.php?em##############################################
- th####uestion.net/index.php?em##############################################
- al###while.net/index.php?em##############################################
- of###while.net/index.php?em##############################################
- of####uestion.net/index.php?em##############################################
- of####herefore.net/index.php?em##############################################
- al####uestion.net/index.php?em##############################################
- al###school.net/index.php?em##############################################
- co####equestion.net/index.php?em##############################################
- ch####uestion.net/index.php?em##############################################
- ch####herefore.net/index.php?em##############################################
- of###school.net/index.php?em##############################################
- co#####therefore.net/index.php?em##############################################
UDP:
- DNS ASK tw####therefore.net
- DNS ASK mi####therefore.net
- DNS ASK ra####school.net
- DNS ASK ra###rwhile.net
- DNS ASK mo####gschool.net
- DNS ASK tw####question.net
- DNS ASK tw####school.net
- DNS ASK mi####school.net
- DNS ASK mi###ewhile.net
- DNS ASK mi####question.net
- DNS ASK tw###ewhile.net
- DNS ASK mo####gwhile.net
- DNS ASK hi####ywhile.net
- DNS ASK st####ewhile.net
- DNS ASK st####equestion.net
- DNS ASK st#####therefore.net
- DNS ASK hi####yquestion.net
- DNS ASK hi####yschool.net
- DNS ASK mo####gquestion.net
- DNS ASK ra####question.net
- DNS ASK ra####therefore.net
- DNS ASK st####eschool.net
- DNS ASK mo#####therefore.net
- DNS ASK ch###school.net
- DNS ASK pr#####therefore.net
- DNS ASK co####eschool.net
- DNS ASK co####ewhile.net
- DNS ASK ch###while.net
- DNS ASK th####herefore.net
- DNS ASK th###while.net
- DNS ASK pr####tschool.net
- DNS ASK pr####twhile.net
- DNS ASK pr####tquestion.net
- DNS ASK th####uestion.net
- DNS ASK ch####uestion.net
- DNS ASK of####uestion.net
- DNS ASK al###while.net
- DNS ASK al####uestion.net
- DNS ASK al####herefore.net
- DNS ASK of####herefore.net
- DNS ASK of###while.net
- DNS ASK ch####herefore.net
- DNS ASK co####equestion.net
- DNS ASK co#####therefore.net
- DNS ASK al###school.net
- DNS ASK of###school.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
