Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Counter Cryptographic Policy' = '%APPDATA%\nwookoohevio\hrcjdhmzw.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\nwookoohevio\lwqwoddz.exe' "%APPDATA%\nwookoohevio\hrcjdhmzw.exe"
- '%APPDATA%\nwookoohevio\hrcjdhmzw.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\nwookoohevio\hrcjdhmzw.oj
- %APPDATA%\nwookoohevio\lwqwoddz.exe
- %APPDATA%\nwookoohevio\hrcjdhmzw.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\nwookoohevio\hrcjdhmzw.exe
Сетевая активность:
Подключается к:
- 're###twomen.net':80
- 'br###nwomen.net':80
- 'pr####eclean.net':80
- 'pr####epaint.net':80
- 'de###eclean.net':80
- 'br###npaint.net':80
- 're###tclean.net':80
- 're###tpaint.net':80
- 're####course.net':80
- 'br####course.net':80
- 'de###epaint.net':80
- 'st####thpaint.net':80
- 'st###clean.net':80
- 'st###paint.net':80
- 'st####thwomen.net':80
- 'st####thcourse.net':80
- 'de####course.net':80
- 'pr####ecourse.net':80
- 'pr####ewomen.net':80
- 'st####thclean.net':80
- 'de###ewomen.net':80
- 'pr###yclean.net':80
- 'do###rclean.net':80
- 'do###rpaint.net':80
- 'do####course.net':80
- 'pr###ypaint.net':80
- 'st###course.net':80
- 'mi###paint.net':80
- 'mi###course.net':80
- 'mi###women.net':80
- 'st###women.net':80
- 'pr####course.net':80
- 'fe####course.net':80
- 'do###epaint.net':80
- 'fe###wwomen.net':80
- 'br###nclean.net':80
- 'do###ewomen.net':80
- 'pr###ywomen.net':80
- 'do###rwomen.net':80
- 'fe###wclean.net':80
- 'fe###wpaint.net':80
- 'do###eclean.net':80
TCP:
Запросы HTTP GET:
- re###twomen.net/index.php?em########################################
- br###nwomen.net/index.php?em########################################
- pr####eclean.net/index.php?em########################################
- pr####epaint.net/index.php?em########################################
- de###eclean.net/index.php?em########################################
- br###npaint.net/index.php?em########################################
- re###tclean.net/index.php?em########################################
- re###tpaint.net/index.php?em########################################
- re####course.net/index.php?em########################################
- br####course.net/index.php?em########################################
- st###clean.net/index.php?em########################################
- st####thclean.net/index.php?em########################################
- st####thpaint.net/index.php?em########################################
- st####thcourse.net/index.php?em########################################
- st###paint.net/index.php?em########################################
- pr####ecourse.net/index.php?em########################################
- de###epaint.net/index.php?em########################################
- de####course.net/index.php?em########################################
- de###ewomen.net/index.php?em########################################
- pr####ewomen.net/index.php?em########################################
- br###nclean.net/index.php?em########################################
- pr###yclean.net/index.php?em########################################
- do###rclean.net/index.php?em########################################
- do###rpaint.net/index.php?em########################################
- do####course.net/index.php?em########################################
- pr###ypaint.net/index.php?em########################################
- st###course.net/index.php?em########################################
- mi###paint.net/index.php?em########################################
- mi###course.net/index.php?em########################################
- mi###women.net/index.php?em########################################
- st###women.net/index.php?em########################################
- do###epaint.net/index.php?em########################################
- fe###wpaint.net/index.php?em########################################
- fe####course.net/index.php?em########################################
- do###ewomen.net/index.php?em########################################
- fe###wwomen.net/index.php?em########################################
- do###rwomen.net/index.php?em########################################
- pr####course.net/index.php?em########################################
- pr###ywomen.net/index.php?em########################################
- do###eclean.net/index.php?em########################################
- fe###wclean.net/index.php?em########################################
UDP:
- DNS ASK re###twomen.net
- DNS ASK br###nwomen.net
- DNS ASK pr####eclean.net
- DNS ASK pr####epaint.net
- DNS ASK de###eclean.net
- DNS ASK br###npaint.net
- DNS ASK re###tclean.net
- DNS ASK re###tpaint.net
- DNS ASK re####course.net
- DNS ASK br####course.net
- DNS ASK de###epaint.net
- DNS ASK st####thpaint.net
- DNS ASK st###clean.net
- DNS ASK st###paint.net
- DNS ASK st####thwomen.net
- DNS ASK st####thcourse.net
- DNS ASK de####course.net
- DNS ASK pr####ecourse.net
- DNS ASK pr####ewomen.net
- DNS ASK st####thclean.net
- DNS ASK de###ewomen.net
- DNS ASK pr###yclean.net
- DNS ASK do###rclean.net
- DNS ASK do###rpaint.net
- DNS ASK do####course.net
- DNS ASK pr###ypaint.net
- DNS ASK st###course.net
- DNS ASK mi###paint.net
- DNS ASK mi###course.net
- DNS ASK mi###women.net
- DNS ASK st###women.net
- DNS ASK pr####course.net
- DNS ASK fe####course.net
- DNS ASK do###epaint.net
- DNS ASK fe###wwomen.net
- DNS ASK br###nclean.net
- DNS ASK do###ewomen.net
- DNS ASK pr###ywomen.net
- DNS ASK do###rwomen.net
- DNS ASK fe###wclean.net
- DNS ASK fe###wpaint.net
- DNS ASK do###eclean.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
