Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Removal Problem Redirector Extensible' = '%APPDATA%\obdfmvyeuis\jmnmwuusn.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\obdfmvyeuis\aelhcwdy.exe' "%APPDATA%\obdfmvyeuis\jmnmwuusn.exe"
- '%APPDATA%\obdfmvyeuis\jmnmwuusn.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\obdfmvyeuis\jmnmwuusn.mcokb
- %APPDATA%\obdfmvyeuis\aelhcwdy.exe
- %APPDATA%\obdfmvyeuis\jmnmwuusn.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\obdfmvyeuis\jmnmwuusn.exe
Сетевая активность:
Подключается к:
- 'wh####rairplane.net':80
- 'fo####nfence.net':80
- 'su###nfence.net':80
- 'ri####traight.net':80
- 'wh####rstraight.net':80
- 'ri####irplane.net':80
- 'fo####nguard.net':80
- 'fo####nairplane.net':80
- 'su####airplane.net':80
- 'ma####efence.net':80
- 'su###nguard.net':80
- 'fo####nstraight.net':80
- 'su####straight.net':80
- 'wh####rguard.net':80
- 'fi###efence.net':80
- 'th###hguard.net':80
- 'fi###eguard.net':80
- 'ci#####teairplane.net':80
- 'pi####eairplane.net':80
- 'th###hfence.net':80
- 'th####straight.net':80
- 'ri###fence.net':80
- 'wh####rfence.net':80
- 'ri###guard.net':80
- 'fi####straight.net':80
- 'th####airplane.net':80
- 'fi####airplane.net':80
- 'pe###nfence.net':80
- 'ei####success.net':80
- 'en####hspring.net':80
- 'ei####spring.net':80
- 'en####hbanker.net':80
- 'ei####banker.net':80
- 'en####hsuccess.net':80
- 'en####hfound.net':80
- 'fa####success.net':80
- 'ch####ensuccess.net':80
- 'fa####spring.net':80
- 'ei###rfound.net':80
- 'fa####banker.net':80
- 'ch####enbanker.net':80
- 'ex####airplane.net':80
- 'pe####straight.net':80
- 'ma####eairplane.net':80
- 'pe####airplane.net':80
- 'ma####eguard.net':80
- 'pe###nguard.net':80
- 'ma####estraight.net':80
- 'be####efence.net':80
- 'be####estraight.net':80
- 'ex####straight.net':80
- 'be####eairplane.net':80
- 'ex###tfence.net':80
- 'be####eguard.net':80
- 'ex###tguard.net':80
TCP:
Запросы HTTP GET:
- wh####rairplane.net/index.php?em####################################
- fo####nfence.net/index.php?em####################################
- su###nfence.net/index.php?em####################################
- ri####traight.net/index.php?em####################################
- wh####rstraight.net/index.php?em####################################
- ri####irplane.net/index.php?em####################################
- fo####nguard.net/index.php?em####################################
- fo####nairplane.net/index.php?em####################################
- su####airplane.net/index.php?em####################################
- ma####efence.net/index.php?em####################################
- su###nguard.net/index.php?em####################################
- fo####nstraight.net/index.php?em####################################
- su####straight.net/index.php?em####################################
- wh####rguard.net/index.php?em####################################
- fi###efence.net/index.php?em####################################
- th###hguard.net/index.php?em####################################
- fi###eguard.net/index.php?em####################################
- ci#####teairplane.net/index.php?em####################################
- pi####eairplane.net/index.php?em####################################
- th###hfence.net/index.php?em####################################
- th####straight.net/index.php?em####################################
- ri###fence.net/index.php?em####################################
- wh####rfence.net/index.php?em####################################
- ri###guard.net/index.php?em####################################
- fi####straight.net/index.php?em####################################
- th####airplane.net/index.php?em####################################
- fi####airplane.net/index.php?em####################################
- pe###nfence.net/index.php?em####################################
- ei####success.net/index.php?em####################################
- en####hspring.net/index.php?em####################################
- ei####spring.net/index.php?em####################################
- en####hbanker.net/index.php?em####################################
- ei####banker.net/index.php?em####################################
- en####hsuccess.net/index.php?em####################################
- en####hfound.net/index.php?em####################################
- fa####success.net/index.php?em####################################
- ch####ensuccess.net/index.php?em####################################
- fa####spring.net/index.php?em####################################
- ei###rfound.net/index.php?em####################################
- fa####banker.net/index.php?em####################################
- ch####enbanker.net/index.php?em####################################
- ex####airplane.net/index.php?em####################################
- pe####straight.net/index.php?em####################################
- ma####eairplane.net/index.php?em####################################
- pe####airplane.net/index.php?em####################################
- ma####eguard.net/index.php?em####################################
- pe###nguard.net/index.php?em####################################
- ma####estraight.net/index.php?em####################################
- be####efence.net/index.php?em####################################
- be####estraight.net/index.php?em####################################
- ex####straight.net/index.php?em####################################
- be####eairplane.net/index.php?em####################################
- ex###tfence.net/index.php?em####################################
- be####eguard.net/index.php?em####################################
- ex###tguard.net/index.php?em####################################
UDP:
- DNS ASK wh####rairplane.net
- DNS ASK fo####nfence.net
- DNS ASK su###nfence.net
- DNS ASK ri####irplane.net
- DNS ASK wh####rguard.net
- DNS ASK ri####traight.net
- DNS ASK wh####rstraight.net
- DNS ASK fo####nairplane.net
- DNS ASK su####airplane.net
- DNS ASK ma####efence.net
- DNS ASK su####straight.net
- DNS ASK fo####nguard.net
- DNS ASK su###nguard.net
- DNS ASK fo####nstraight.net
- DNS ASK fi###efence.net
- DNS ASK th###hguard.net
- DNS ASK fi###eguard.net
- DNS ASK th###hfence.net
- DNS ASK pi####estraight.net
- DNS ASK ci#####teairplane.net
- DNS ASK pi####eairplane.net
- DNS ASK ri###fence.net
- DNS ASK wh####rfence.net
- DNS ASK ri###guard.net
- DNS ASK fi####airplane.net
- DNS ASK th####straight.net
- DNS ASK fi####straight.net
- DNS ASK th####airplane.net
- DNS ASK ei####success.net
- DNS ASK en####hspring.net
- DNS ASK ei####spring.net
- DNS ASK en####hsuccess.net
- DNS ASK ex####airplane.net
- DNS ASK en####hbanker.net
- DNS ASK ei####banker.net
- DNS ASK fa####success.net
- DNS ASK ch####ensuccess.net
- DNS ASK fa####spring.net
- DNS ASK ch####enbanker.net
- DNS ASK en####hfound.net
- DNS ASK ei###rfound.net
- DNS ASK fa####banker.net
- DNS ASK pe####straight.net
- DNS ASK ma####eairplane.net
- DNS ASK pe####airplane.net
- DNS ASK ma####estraight.net
- DNS ASK pe###nfence.net
- DNS ASK ma####eguard.net
- DNS ASK pe###nguard.net
- DNS ASK be####estraight.net
- DNS ASK ex####straight.net
- DNS ASK be####eairplane.net
- DNS ASK ex###tguard.net
- DNS ASK be####efence.net
- DNS ASK ex###tfence.net
- DNS ASK be####eguard.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
