Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Encryption Link Protocol Shell Superfetch' = '%APPDATA%\euuoctu\fhnqpgcjimfb.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\euuoctu\jykqfuqpyhv.exe' "%APPDATA%\euuoctu\fhnqpgcjimfb.exe"
- '%APPDATA%\euuoctu\fhnqpgcjimfb.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\euuoctu\fhnqpgcjimfb.cearx
- %APPDATA%\euuoctu\jykqfuqpyhv.exe
- %APPDATA%\euuoctu\fhnqpgcjimfb.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\euuoctu\fhnqpgcjimfb.exe
Сетевая активность:
Подключается к:
- 'ne#####ryadvance.net':80
- 'pl####ntadvance.net':80
- 'ne#####rystranger.net':80
- 'pl#####tstranger.net':80
- 'he####ortieth.net':80
- 'di#####ltgoodbye.net':80
- 'he####tranger.net':80
- 'di#####ltfortieth.net':80
- 'he####oodbye.net':80
- 'or####tranger.net':80
- 're####eadvance.net':80
- 'or####oodbye.net':80
- 're####estranger.net':80
- 'or####dvance.net':80
- 'ne#####rygoodbye.net':80
- 'pl####ntgoodbye.net':80
- 'ne#####ryfortieth.net':80
- 'pl#####tfortieth.net':80
- 'di#####ltstranger.net':80
- 'de####fortieth.net':80
- 'fo####dgoodbye.net':80
- 'an####advance.net':80
- 'fo####dfortieth.net':80
- 'de####goodbye.net':80
- 'fo####dadvance.net':80
- 'de####advance.net':80
- 'fo####dstranger.net':80
- 'de####stranger.net':80
- 'gl####ortieth.net':80
- 'an####fortieth.net':80
- 'he####dvance.net':80
- 'di#####ltadvance.net':80
- 'gl####oodbye.net':80
- 'an####stranger.net':80
- 'gl####dvance.net':80
- 'an####goodbye.net':80
- 'gl####tranger.net':80
TCP:
Запросы HTTP GET:
- http://ne#####ryadvance.net/index.php?em########################################
- http://pl####ntadvance.net/index.php?em########################################
- http://ne#####rystranger.net/index.php?em########################################
- http://pl#####tstranger.net/index.php?em########################################
- http://he####ortieth.net/index.php?em########################################
- http://di#####ltgoodbye.net/index.php?em########################################
- http://he####tranger.net/index.php?em########################################
- http://di#####ltfortieth.net/index.php?em########################################
- http://he####oodbye.net/index.php?em########################################
- http://or####tranger.net/index.php?em########################################
- http://re####eadvance.net/index.php?em########################################
- http://or####oodbye.net/index.php?em########################################
- http://re####estranger.net/index.php?em########################################
- http://or####dvance.net/index.php?em########################################
- http://ne#####rygoodbye.net/index.php?em########################################
- http://pl####ntgoodbye.net/index.php?em########################################
- http://ne#####ryfortieth.net/index.php?em########################################
- http://pl#####tfortieth.net/index.php?em########################################
- http://di#####ltstranger.net/index.php?em########################################
- http://de####fortieth.net/index.php?em########################################
- http://fo####dgoodbye.net/index.php?em########################################
- http://an####advance.net/index.php?em########################################
- http://fo####dfortieth.net/index.php?em########################################
- http://de####goodbye.net/index.php?em########################################
- http://fo####dadvance.net/index.php?em########################################
- http://de####advance.net/index.php?em########################################
- http://fo####dstranger.net/index.php?em########################################
- http://de####stranger.net/index.php?em########################################
- http://gl####ortieth.net/index.php?em########################################
- http://an####fortieth.net/index.php?em########################################
- http://he####dvance.net/index.php?em########################################
- http://di#####ltadvance.net/index.php?em########################################
- http://gl####oodbye.net/index.php?em########################################
- http://an####stranger.net/index.php?em########################################
- http://gl####dvance.net/index.php?em########################################
- http://an####goodbye.net/index.php?em########################################
- http://gl####tranger.net/index.php?em########################################
UDP:
- DNS ASK ne#####ryadvance.net
- DNS ASK pl####ntadvance.net
- DNS ASK ne#####rystranger.net
- DNS ASK pl#####tstranger.net
- DNS ASK he####ortieth.net
- DNS ASK di#####ltgoodbye.net
- DNS ASK he####tranger.net
- DNS ASK di#####ltfortieth.net
- DNS ASK he####oodbye.net
- DNS ASK pl####ntgoodbye.net
- DNS ASK re####estranger.net
- DNS ASK or####tranger.net
- DNS ASK re####egoodbye.net
- DNS ASK or####oodbye.net
- DNS ASK re####eadvance.net
- DNS ASK pl#####tfortieth.net
- DNS ASK ne#####rygoodbye.net
- DNS ASK or####dvance.net
- DNS ASK ne#####ryfortieth.net
- DNS ASK de####fortieth.net
- DNS ASK fo####dgoodbye.net
- DNS ASK an####advance.net
- DNS ASK fo####dfortieth.net
- DNS ASK de####goodbye.net
- DNS ASK fo####dadvance.net
- DNS ASK de####advance.net
- DNS ASK fo####dstranger.net
- DNS ASK de####stranger.net
- DNS ASK gl####dvance.net
- DNS ASK di#####ltadvance.net
- DNS ASK gl####ortieth.net
- DNS ASK di#####ltstranger.net
- DNS ASK he####dvance.net
- DNS ASK an####fortieth.net
- DNS ASK gl####tranger.net
- DNS ASK an####stranger.net
- DNS ASK gl####oodbye.net
- DNS ASK an####goodbye.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
