Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Locator Drive KtmRm DCOM Service' = '%APPDATA%\nbprwgzzwgyps\ztmwnumt.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\nbprwgzzwgyps\jshvcjhrais.exe' "%APPDATA%\nbprwgzzwgyps\ztmwnumt.exe"
- '%APPDATA%\nbprwgzzwgyps\ztmwnumt.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\nbprwgzzwgyps\ztmwnumt.jrz
- %APPDATA%\nbprwgzzwgyps\jshvcjhrais.exe
- %APPDATA%\nbprwgzzwgyps\ztmwnumt.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\nbprwgzzwgyps\jshvcjhrais.exe
- %APPDATA%\nbprwgzzwgyps\ztmwnumt.exe
Сетевая активность:
Подключается к:
- 'wa####artial.net':80
- 'wo###number.net':80
- 'th####tpartial.net':80
- 'th####tstrike.net':80
- 'wa###strike.net':80
- 'wo###strike.net':80
- 'sm###strike.net':80
- 'sm####osition.net':80
- 'sm###number.net':80
- 'wo####osition.net':80
- 'wa####osition.net':80
- 'su####strike.net':80
- 'cr###strike.net':80
- 'cr####osition.net':80
- 'cr###number.net':80
- 'su####position.net':80
- 'wa###number.net':80
- 'th####tposition.net':80
- 'th####tnumber.net':80
- 'su####partial.net':80
- 'cr####artial.net':80
- 'fr####eighbor.net':80
- 'ex#####nceneighbor.net':80
- 'ex#####ncesquare.net':80
- 'ex#####nceattempt.net':80
- 'fr###square.net':80
- 'al####yattempt.net':80
- 'ge####mansquare.net':80
- 'ge#####anattempt.net':80
- 'fr###spread.net':80
- 'ex#####ncespread.net':80
- 'fr####ttempt.net':80
- 'fi###number.net':80
- 'pa####osition.net':80
- 'pa###number.net':80
- 'wo####artial.net':80
- 'sm####artial.net':80
- 'pa####artial.net':80
- 'fi####artial.net':80
- 'fi###strike.net':80
- 'fi####osition.net':80
- 'pa###strike.net':80
- 'su####number.net':80
- 'fr###strike.net':80
- 'ex#####ncestrike.net':80
- 'ex#####nceposition.net':80
- 'ex#####ncenumber.net':80
- 'fr####osition.net':80
- 'al####ynumber.net':80
- 'ge#####anposition.net':80
- 'ge####mannumber.net':80
- 'fr####artial.net':80
- 'ex#####ncepartial.net':80
- 'fr###number.net':80
- 'fi###borrow.net':80
- 'pa###train.net':80
- 'pa###borrow.net':80
- 'wo####elight.net':80
- 'sm####elight.net':80
- 'pa####elight.net':80
- 'fi####elight.net':80
- 'fi#####ectricity.net':80
- 'fi###train.net':80
- 'pa#####ectricity.net':80
- 'kn###number.net':80
- 'be####osition.net':80
- 'be###number.net':80
- 'fo####partial.net':80
- 'me####partial.net':80
- 'be####artial.net':80
- 'kn####artial.net':80
- 'kn###strike.net':80
- 'kn####osition.net':80
- 'be###strike.net':80
- 'me####strike.net':80
- 'ge#####anpartial.net':80
- 'al####ypartial.net':80
- 'al####ystrike.net':80
- 'al####yposition.net':80
- 'ge####manstrike.net':80
- 'me####position.net':80
- 'fo####strike.net':80
- 'fo####position.net':80
- 'fo####number.net':80
- 'me####number.net':80
TCP:
Запросы HTTP GET:
- http://wa####artial.net/forum/search.php?em########################################
- http://wo###number.net/forum/search.php?em########################################
- http://th####tpartial.net/forum/search.php?em########################################
- http://th####tstrike.net/forum/search.php?em########################################
- http://wa###strike.net/forum/search.php?em########################################
- http://wo###strike.net/forum/search.php?em########################################
- http://sm###strike.net/forum/search.php?em########################################
- http://sm####osition.net/forum/search.php?em########################################
- http://sm###number.net/forum/search.php?em########################################
- http://wo####osition.net/forum/search.php?em########################################
- http://wa####osition.net/forum/search.php?em########################################
- http://su####strike.net/forum/search.php?em########################################
- http://cr###strike.net/forum/search.php?em########################################
- http://cr####osition.net/forum/search.php?em########################################
- http://cr###number.net/forum/search.php?em########################################
- http://su####position.net/forum/search.php?em########################################
- http://wa###number.net/forum/search.php?em########################################
- http://th####tposition.net/forum/search.php?em########################################
- http://th####tnumber.net/forum/search.php?em########################################
- http://su####partial.net/forum/search.php?em########################################
- http://cr####artial.net/forum/search.php?em########################################
- http://fr####eighbor.net/forum/search.php?em########################################
- http://ex#####nceneighbor.net/forum/search.php?em########################################
- http://ex#####ncesquare.net/forum/search.php?em########################################
- http://ex#####nceattempt.net/forum/search.php?em########################################
- http://fr###square.net/forum/search.php?em########################################
- http://al####yattempt.net/forum/search.php?em########################################
- http://ge####mansquare.net/forum/search.php?em########################################
- http://ge#####anattempt.net/forum/search.php?em########################################
- http://fr###spread.net/forum/search.php?em########################################
- http://ex#####ncespread.net/forum/search.php?em########################################
- http://fr####ttempt.net/forum/search.php?em########################################
- http://fi###number.net/forum/search.php?em########################################
- http://pa####osition.net/forum/search.php?em########################################
- http://pa###number.net/forum/search.php?em########################################
- http://wo####artial.net/forum/search.php?em########################################
- http://sm####artial.net/forum/search.php?em########################################
- http://pa####artial.net/forum/search.php?em########################################
- http://fi####artial.net/forum/search.php?em########################################
- http://fi###strike.net/forum/search.php?em########################################
- http://fi####osition.net/forum/search.php?em########################################
- http://pa###strike.net/forum/search.php?em########################################
- http://su####number.net/forum/search.php?em########################################
- http://fr###strike.net/forum/search.php?em########################################
- http://ex#####ncestrike.net/forum/search.php?em########################################
- http://ex#####nceposition.net/forum/search.php?em########################################
- http://ex#####ncenumber.net/forum/search.php?em########################################
- http://fr####osition.net/forum/search.php?em########################################
- http://al####ynumber.net/forum/search.php?em########################################
- http://ge#####anposition.net/forum/search.php?em########################################
- http://ge####mannumber.net/forum/search.php?em########################################
- http://fr####artial.net/forum/search.php?em########################################
- http://ex#####ncepartial.net/forum/search.php?em########################################
- http://fr###number.net/forum/search.php?em########################################
- http://fi###borrow.net/forum/search.php?em########################################
- http://pa###train.net/forum/search.php?em########################################
- http://pa###borrow.net/forum/search.php?em########################################
- http://wo####elight.net/forum/search.php?em########################################
- http://sm####elight.net/forum/search.php?em########################################
- http://pa####elight.net/forum/search.php?em########################################
- http://fi####elight.net/forum/search.php?em########################################
- http://fi#####ectricity.net/forum/search.php?em########################################
- http://fi###train.net/forum/search.php?em########################################
- http://pa#####ectricity.net/forum/search.php?em########################################
- http://kn###number.net/forum/search.php?em########################################
- http://be####osition.net/forum/search.php?em########################################
- http://be###number.net/forum/search.php?em########################################
- http://fo####partial.net/forum/search.php?em########################################
- http://me####partial.net/forum/search.php?em########################################
- http://be####artial.net/forum/search.php?em########################################
- http://kn####artial.net/forum/search.php?em########################################
- http://kn###strike.net/forum/search.php?em########################################
- http://kn####osition.net/forum/search.php?em########################################
- http://be###strike.net/forum/search.php?em########################################
- http://me####strike.net/forum/search.php?em########################################
- http://ge#####anpartial.net/forum/search.php?em########################################
- http://al####ypartial.net/forum/search.php?em########################################
- http://al####ystrike.net/forum/search.php?em########################################
- http://al####yposition.net/forum/search.php?em########################################
- http://ge####manstrike.net/forum/search.php?em########################################
- http://me####position.net/forum/search.php?em########################################
- http://fo####strike.net/forum/search.php?em########################################
- http://fo####position.net/forum/search.php?em########################################
- http://fo####number.net/forum/search.php?em########################################
- http://me####number.net/forum/search.php?em########################################
UDP:
- DNS ASK wa####artial.net
- DNS ASK wo###number.net
- DNS ASK th####tpartial.net
- DNS ASK th####tstrike.net
- DNS ASK wa###strike.net
- DNS ASK wo###strike.net
- DNS ASK sm###strike.net
- DNS ASK sm####osition.net
- DNS ASK sm###number.net
- DNS ASK wo####osition.net
- DNS ASK wa####osition.net
- DNS ASK su####strike.net
- DNS ASK cr###strike.net
- DNS ASK cr####osition.net
- DNS ASK cr###number.net
- DNS ASK su####position.net
- DNS ASK wa###number.net
- DNS ASK th####tposition.net
- DNS ASK th####tnumber.net
- DNS ASK su####partial.net
- DNS ASK cr####artial.net
- DNS ASK fr####eighbor.net
- DNS ASK ex#####nceneighbor.net
- DNS ASK ex#####ncesquare.net
- DNS ASK ex#####nceattempt.net
- DNS ASK fr###square.net
- DNS ASK al####yattempt.net
- DNS ASK ge####mansquare.net
- DNS ASK ge#####anattempt.net
- DNS ASK fr###spread.net
- DNS ASK ex#####ncespread.net
- DNS ASK fr####ttempt.net
- DNS ASK fi###number.net
- DNS ASK pa####osition.net
- DNS ASK pa###number.net
- DNS ASK wo####artial.net
- DNS ASK sm####artial.net
- DNS ASK pa####artial.net
- DNS ASK fi####artial.net
- DNS ASK fi###strike.net
- DNS ASK fi####osition.net
- DNS ASK pa###strike.net
- DNS ASK su####number.net
- DNS ASK fr###strike.net
- DNS ASK ex#####ncestrike.net
- DNS ASK ex#####nceposition.net
- DNS ASK ex#####ncenumber.net
- DNS ASK fr####osition.net
- DNS ASK al####ynumber.net
- DNS ASK ge#####anposition.net
- DNS ASK ge####mannumber.net
- DNS ASK fr####artial.net
- DNS ASK ex#####ncepartial.net
- DNS ASK fr###number.net
- DNS ASK fi###borrow.net
- DNS ASK pa###train.net
- DNS ASK pa###borrow.net
- DNS ASK wo####elight.net
- DNS ASK sm####elight.net
- DNS ASK pa####elight.net
- DNS ASK fi####elight.net
- DNS ASK fi#####ectricity.net
- DNS ASK fi###train.net
- DNS ASK pa#####ectricity.net
- DNS ASK kn###number.net
- DNS ASK be####osition.net
- DNS ASK be###number.net
- DNS ASK fo####partial.net
- DNS ASK me####partial.net
- DNS ASK be####artial.net
- DNS ASK kn####artial.net
- DNS ASK kn###strike.net
- DNS ASK kn####osition.net
- DNS ASK be###strike.net
- DNS ASK me####strike.net
- DNS ASK ge#####anpartial.net
- DNS ASK al####ypartial.net
- DNS ASK al####ystrike.net
- DNS ASK al####yposition.net
- DNS ASK ge####manstrike.net
- DNS ASK me####position.net
- DNS ASK fo####strike.net
- DNS ASK fo####position.net
- DNS ASK fo####number.net
- DNS ASK me####number.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
