Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Acquisition Ordering IP Transaction' = '%APPDATA%\khvzklce\beraqkgtwga.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\khvzklce\ejfdnviyoi.exe' "%APPDATA%\khvzklce\beraqkgtwga.exe"
- '%APPDATA%\khvzklce\beraqkgtwga.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\khvzklce\beraqkgtwga.ms
- %APPDATA%\khvzklce\ejfdnviyoi.exe
- %APPDATA%\khvzklce\beraqkgtwga.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\khvzklce\beraqkgtwga.exe
Сетевая активность:
Подключается к:
- 'ex#####ncedaughter.net':80
- 'ge####manready.net':80
- 'fr####aughter.net':80
- 'fr###people.net':80
- 'ex#####ncepeople.net':80
- 'ge####manpeople.net':80
- 'al####ypeople.net':80
- 'al####ybrown.net':80
- 'al####yready.net':80
- 'ge####manbrown.net':80
- 'fi###bright.net':80
- 'pa###inside.net':80
- 'pa###bright.net':80
- 'pa####xplain.net':80
- 'fi####xplain.net':80
- 'fr###brown.net':80
- 'ex####encebrown.net':80
- 'ex####enceready.net':80
- 'fi###inside.net':80
- 'fr###ready.net':80
- 'kn###brown.net':80
- 'be###people.net':80
- 'be###brown.net':80
- 'be###ready.net':80
- 'kn###ready.net':80
- 'su###rready.net':80
- 'cr###ready.net':80
- 'kn####aughter.net':80
- 'kn###people.net':80
- 'be####aughter.net':80
- 'me###rready.net':80
- 'fo###wbrown.net':80
- 'fo###wready.net':80
- 'ge#####andaughter.net':80
- 'al####ydaughter.net':80
- 'fo####daughter.net':80
- 'me####daughter.net':80
- 'me####people.net':80
- 'me###rbrown.net':80
- 'fo####people.net':80
- 'fi####nstead.net':80
- 'be###inside.net':80
- 'kn###inside.net':80
- 'kn###bright.net':80
- 'kn####xplain.net':80
- 'be###bright.net':80
- 'cr####xplain.net':80
- 'su####bright.net':80
- 'su####explain.net':80
- 'su####instead.net':80
- 'cr####nstead.net':80
- 'fo####bright.net':80
- 'me####bright.net':80
- 'me####explain.net':80
- 'me####instead.net':80
- 'fo####explain.net':80
- 'kn####nstead.net':80
- 'be####xplain.net':80
- 'be####nstead.net':80
- 'fo####inside.net':80
- 'me####inside.net':80
- 'wo####xplain.net':80
- 'sm####xplain.net':80
- 'sm####nstead.net':80
- 'wa###inside.net':80
- 'wo####nstead.net':80
- 'sm###inside.net':80
- 'pa####nstead.net':80
- 'wo###inside.net':80
- 'wo###bright.net':80
- 'sm###bright.net':80
- 'th####tinstead.net':80
- 'wa####nstead.net':80
- 'cr###inside.net':80
- 'cr###bright.net':80
- 'su####inside.net':80
- 'wa###bright.net':80
- 'th####tinside.net':80
- 'th####tbright.net':80
- 'th####texplain.net':80
- 'wa####xplain.net':80
TCP:
Запросы HTTP GET:
- http://ex#####ncedaughter.net/index.php?em############################################
- http://ge####manready.net/index.php?em############################################
- http://fr####aughter.net/index.php?em############################################
- http://fr###people.net/index.php?em############################################
- http://ex#####ncepeople.net/index.php?em############################################
- http://ge####manpeople.net/index.php?em############################################
- http://al####ypeople.net/index.php?em############################################
- http://al####ybrown.net/index.php?em############################################
- http://al####yready.net/index.php?em############################################
- http://ge####manbrown.net/index.php?em############################################
- http://fi###bright.net/index.php?em############################################
- http://pa###inside.net/index.php?em############################################
- http://pa###bright.net/index.php?em############################################
- http://pa####xplain.net/index.php?em############################################
- http://fi####xplain.net/index.php?em############################################
- http://fr###brown.net/index.php?em############################################
- http://ex####encebrown.net/index.php?em############################################
- http://ex####enceready.net/index.php?em############################################
- http://fi###inside.net/index.php?em############################################
- http://fr###ready.net/index.php?em############################################
- http://kn###brown.net/index.php?em############################################
- http://be###people.net/index.php?em############################################
- http://be###brown.net/index.php?em############################################
- http://be###ready.net/index.php?em############################################
- http://kn###ready.net/index.php?em############################################
- http://su###rready.net/index.php?em############################################
- http://cr###ready.net/index.php?em############################################
- http://kn####aughter.net/index.php?em############################################
- http://kn###people.net/index.php?em############################################
- http://be####aughter.net/index.php?em############################################
- http://me###rready.net/index.php?em############################################
- http://fo###wbrown.net/index.php?em############################################
- http://fo###wready.net/index.php?em############################################
- http://ge#####andaughter.net/index.php?em############################################
- http://al####ydaughter.net/index.php?em############################################
- http://fo####daughter.net/index.php?em############################################
- http://me####daughter.net/index.php?em############################################
- http://me####people.net/index.php?em############################################
- http://me###rbrown.net/index.php?em############################################
- http://fo####people.net/index.php?em############################################
- http://fi####nstead.net/index.php?em############################################
- http://be###inside.net/index.php?em############################################
- http://kn###inside.net/index.php?em############################################
- http://kn###bright.net/index.php?em############################################
- http://kn####xplain.net/index.php?em############################################
- http://be###bright.net/index.php?em############################################
- http://cr####xplain.net/index.php?em############################################
- http://su####bright.net/index.php?em############################################
- http://su####explain.net/index.php?em############################################
- http://su####instead.net/index.php?em############################################
- http://cr####nstead.net/index.php?em############################################
- http://fo####bright.net/index.php?em############################################
- http://me####bright.net/index.php?em############################################
- http://me####explain.net/index.php?em############################################
- http://me####instead.net/index.php?em############################################
- http://fo####explain.net/index.php?em############################################
- http://kn####nstead.net/index.php?em############################################
- http://be####xplain.net/index.php?em############################################
- http://be####nstead.net/index.php?em############################################
- http://fo####inside.net/index.php?em############################################
- http://me####inside.net/index.php?em############################################
- http://wo####xplain.net/index.php?em############################################
- http://sm####xplain.net/index.php?em############################################
- http://sm####nstead.net/index.php?em############################################
- http://wa###inside.net/index.php?em############################################
- http://wo####nstead.net/index.php?em############################################
- http://sm###inside.net/index.php?em############################################
- http://pa####nstead.net/index.php?em############################################
- http://wo###inside.net/index.php?em############################################
- http://wo###bright.net/index.php?em############################################
- http://sm###bright.net/index.php?em############################################
- http://th####tinstead.net/index.php?em############################################
- http://wa####nstead.net/index.php?em############################################
- http://cr###inside.net/index.php?em############################################
- http://cr###bright.net/index.php?em############################################
- http://su####inside.net/index.php?em############################################
- http://wa###bright.net/index.php?em############################################
- http://th####tinside.net/index.php?em############################################
- http://th####tbright.net/index.php?em############################################
- http://th####texplain.net/index.php?em############################################
- http://wa####xplain.net/index.php?em############################################
UDP:
- DNS ASK ex#####ncedaughter.net
- DNS ASK ge####manready.net
- DNS ASK fr####aughter.net
- DNS ASK fr###people.net
- DNS ASK ex#####ncepeople.net
- DNS ASK ge####manpeople.net
- DNS ASK al####ypeople.net
- DNS ASK al####ybrown.net
- DNS ASK al####yready.net
- DNS ASK ge####manbrown.net
- DNS ASK fi###bright.net
- DNS ASK pa###inside.net
- DNS ASK pa###bright.net
- DNS ASK pa####xplain.net
- DNS ASK fi####xplain.net
- DNS ASK fr###brown.net
- DNS ASK ex####encebrown.net
- DNS ASK ex####enceready.net
- DNS ASK fi###inside.net
- DNS ASK fr###ready.net
- DNS ASK ge#####andaughter.net
- DNS ASK be###people.net
- DNS ASK kn###people.net
- DNS ASK kn###brown.net
- DNS ASK kn###ready.net
- DNS ASK be###brown.net
- DNS ASK cr###ready.net
- DNS ASK su###rbrown.net
- DNS ASK su###rready.net
- DNS ASK be####aughter.net
- DNS ASK kn####aughter.net
- DNS ASK fo###wbrown.net
- DNS ASK me###rbrown.net
- DNS ASK me###rready.net
- DNS ASK al####ydaughter.net
- DNS ASK fo###wready.net
- DNS ASK me####daughter.net
- DNS ASK be###ready.net
- DNS ASK fo####daughter.net
- DNS ASK fo####people.net
- DNS ASK me####people.net
- DNS ASK be###inside.net
- DNS ASK kn###inside.net
- DNS ASK kn###bright.net
- DNS ASK kn####xplain.net
- DNS ASK be###bright.net
- DNS ASK cr####xplain.net
- DNS ASK su####bright.net
- DNS ASK su####explain.net
- DNS ASK su####instead.net
- DNS ASK cr####nstead.net
- DNS ASK fo####bright.net
- DNS ASK me####bright.net
- DNS ASK me####explain.net
- DNS ASK me####instead.net
- DNS ASK fo####explain.net
- DNS ASK kn####nstead.net
- DNS ASK be####xplain.net
- DNS ASK be####nstead.net
- DNS ASK fo####inside.net
- DNS ASK me####inside.net
- DNS ASK cr###bright.net
- DNS ASK sm####xplain.net
- DNS ASK wo###bright.net
- DNS ASK wo####xplain.net
- DNS ASK wo####nstead.net
- DNS ASK sm####nstead.net
- DNS ASK pa####nstead.net
- DNS ASK fi####nstead.net
- DNS ASK sm###inside.net
- DNS ASK sm###bright.net
- DNS ASK wo###inside.net
- DNS ASK wa####nstead.net
- DNS ASK th####texplain.net
- DNS ASK th####tinstead.net
- DNS ASK su####inside.net
- DNS ASK cr###inside.net
- DNS ASK th####tinside.net
- DNS ASK wa###inside.net
- DNS ASK wa###bright.net
- DNS ASK wa####xplain.net
- DNS ASK th####tbright.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
