Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Now Reports File COM RPC Process Key Input' = '%APPDATA%\ktaqi7rhtr\aiyrxl.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ktaqi7rhtr\fs4if2o6e.exe' "%APPDATA%\ktaqi7rhtr\aiyrxl.exe"
- '%APPDATA%\ktaqi7rhtr\aiyrxl.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ktaqi7rhtr\aiyrxl.kbml5
- %APPDATA%\ktaqi7rhtr\fs4if2o6e.exe
- %APPDATA%\ktaqi7rhtr\aiyrxl.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ktaqi7rhtr\fs4if2o6e.exe
- %APPDATA%\ktaqi7rhtr\aiyrxl.exe
Сетевая активность:
Подключается к:
- 'fo####office.net':80
- 'in#####edistance.net':80
- 'fo####distance.net':80
- 'in####seoffice.net':80
- 'wo###supply.net':80
- 'in####searrive.net':80
- 'fo####arrive.net':80
- 'in####sesupply.net':80
- 'ef####office.net':80
- 'th####hdistance.net':80
- 'ef####distance.net':80
- 'th####hoffice.net':80
- 'fo####supply.net':80
- 'th####harrive.net':80
- 'ef####arrive.net':80
- 're####ersupply.net':80
- 'jo#####president.net':80
- 'hu####dtrouble.net':80
- 'jo####ytrouble.net':80
- 'hu#####president.net':80
- 'de####ystrong.net':80
- 'hu####dcaught.net':80
- 'jo####ycaught.net':80
- 'hu####dstrong.net':80
- 'wo###office.net':80
- 're#####rdistance.net':80
- 'wo####istance.net':80
- 're####eroffice.net':80
- 'jo####ystrong.net':80
- 're####erarrive.net':80
- 'wo###arrive.net':80
- 'th####hsupply.net':80
- 'ri####office.net':80
- 'be####distance.net':80
- 'ri####distance.net':80
- 'be####office.net':80
- 'ch###supply.net':80
- 'be####arrive.net':80
- 'ri####arrive.net':80
- 'be####supply.net':80
- 'de####yoffice.net':80
- 'li####distance.net':80
- 'de####ydistance.net':80
- 'li####office.net':80
- 'ri####supply.net':80
- 'li####arrive.net':80
- 'de####yarrive.net':80
- 'th###supply.net':80
- 'wi####office.net':80
- 'su####distance.net':80
- 'wi####distance.net':80
- 'su####office.net':80
- 'ef####supply.net':80
- 'su####arrive.net':80
- 'wi####arrive.net':80
- 'su####supply.net':80
- 'ch###office.net':80
- 'th####istance.net':80
- 'ch####istance.net':80
- 'th###office.net':80
- 'wi####supply.net':80
- 'th###arrive.net':80
- 'ch###arrive.net':80
TCP:
Запросы HTTP GET:
- http://fo####office.net/forum/search.php?em#############################################
- http://in#####edistance.net/forum/search.php?em#############################################
- http://fo####distance.net/forum/search.php?em#############################################
- http://in####seoffice.net/forum/search.php?em#############################################
- http://wo###supply.net/forum/search.php?em#############################################
- http://in####searrive.net/forum/search.php?em#############################################
- http://fo####arrive.net/forum/search.php?em#############################################
- http://in####sesupply.net/forum/search.php?em#############################################
- http://ef####office.net/forum/search.php?em#############################################
- http://th####hdistance.net/forum/search.php?em#############################################
- http://ef####distance.net/forum/search.php?em#############################################
- http://th####hoffice.net/forum/search.php?em#############################################
- http://fo####supply.net/forum/search.php?em#############################################
- http://th####harrive.net/forum/search.php?em#############################################
- http://ef####arrive.net/forum/search.php?em#############################################
- http://re####ersupply.net/forum/search.php?em#############################################
- http://jo#####president.net/forum/search.php?em#############################################
- http://hu####dtrouble.net/forum/search.php?em#############################################
- http://jo####ytrouble.net/forum/search.php?em#############################################
- http://hu#####president.net/forum/search.php?em#############################################
- http://de####ystrong.net/forum/search.php?em#############################################
- http://hu####dcaught.net/forum/search.php?em#############################################
- http://jo####ycaught.net/forum/search.php?em#############################################
- http://hu####dstrong.net/forum/search.php?em#############################################
- http://wo###office.net/forum/search.php?em#############################################
- http://re#####rdistance.net/forum/search.php?em#############################################
- http://wo####istance.net/forum/search.php?em#############################################
- http://re####eroffice.net/forum/search.php?em#############################################
- http://jo####ystrong.net/forum/search.php?em#############################################
- http://re####erarrive.net/forum/search.php?em#############################################
- http://wo###arrive.net/forum/search.php?em#############################################
- http://th####hsupply.net/forum/search.php?em#############################################
- http://ri####office.net/forum/search.php?em#############################################
- http://be####distance.net/forum/search.php?em#############################################
- http://ri####distance.net/forum/search.php?em#############################################
- http://be####office.net/forum/search.php?em#############################################
- http://ch###supply.net/forum/search.php?em#############################################
- http://be####arrive.net/forum/search.php?em#############################################
- http://ri####arrive.net/forum/search.php?em#############################################
- http://be####supply.net/forum/search.php?em#############################################
- http://de####yoffice.net/forum/search.php?em#############################################
- http://li####distance.net/forum/search.php?em#############################################
- http://de####ydistance.net/forum/search.php?em#############################################
- http://li####office.net/forum/search.php?em#############################################
- http://ri####supply.net/forum/search.php?em#############################################
- http://li####arrive.net/forum/search.php?em#############################################
- http://de####yarrive.net/forum/search.php?em#############################################
- http://th###supply.net/forum/search.php?em#############################################
- http://wi####office.net/forum/search.php?em#############################################
- http://su####distance.net/forum/search.php?em#############################################
- http://wi####distance.net/forum/search.php?em#############################################
- http://su####office.net/forum/search.php?em#############################################
- http://ef####supply.net/forum/search.php?em#############################################
- http://su####arrive.net/forum/search.php?em#############################################
- http://wi####arrive.net/forum/search.php?em#############################################
- http://su####supply.net/forum/search.php?em#############################################
- http://ch###office.net/forum/search.php?em#############################################
- http://th####istance.net/forum/search.php?em#############################################
- http://ch####istance.net/forum/search.php?em#############################################
- http://th###office.net/forum/search.php?em#############################################
- http://wi####supply.net/forum/search.php?em#############################################
- http://th###arrive.net/forum/search.php?em#############################################
- http://ch###arrive.net/forum/search.php?em#############################################
UDP:
- DNS ASK fo####office.net
- DNS ASK in####seoffice.net
- DNS ASK fo####distance.net
- DNS ASK in#####edistance.net
- DNS ASK wo###supply.net
- DNS ASK re####ersupply.net
- DNS ASK fo####arrive.net
- DNS ASK in####searrive.net
- DNS ASK ef####office.net
- DNS ASK th####hoffice.net
- DNS ASK ef####distance.net
- DNS ASK th####hdistance.net
- DNS ASK fo####supply.net
- DNS ASK in####sesupply.net
- DNS ASK ef####arrive.net
- DNS ASK th####harrive.net
- DNS ASK jo#####president.net
- DNS ASK hu#####president.net
- DNS ASK jo####ytrouble.net
- DNS ASK hu####dtrouble.net
- DNS ASK de####ystrong.net
- DNS ASK li####strong.net
- DNS ASK jo####ycaught.net
- DNS ASK hu####dcaught.net
- DNS ASK wo###office.net
- DNS ASK re####eroffice.net
- DNS ASK wo####istance.net
- DNS ASK re#####rdistance.net
- DNS ASK jo####ystrong.net
- DNS ASK hu####dstrong.net
- DNS ASK wo###arrive.net
- DNS ASK re####erarrive.net
- DNS ASK ri####office.net
- DNS ASK be####office.net
- DNS ASK ri####distance.net
- DNS ASK be####distance.net
- DNS ASK ch###supply.net
- DNS ASK th###supply.net
- DNS ASK ri####arrive.net
- DNS ASK be####arrive.net
- DNS ASK de####yoffice.net
- DNS ASK li####office.net
- DNS ASK de####ydistance.net
- DNS ASK li####distance.net
- DNS ASK ri####supply.net
- DNS ASK be####supply.net
- DNS ASK de####yarrive.net
- DNS ASK li####arrive.net
- DNS ASK wi####office.net
- DNS ASK su####office.net
- DNS ASK wi####distance.net
- DNS ASK su####distance.net
- DNS ASK ef####supply.net
- DNS ASK th####hsupply.net
- DNS ASK wi####arrive.net
- DNS ASK su####arrive.net
- DNS ASK ch###office.net
- DNS ASK th###office.net
- DNS ASK ch####istance.net
- DNS ASK th####istance.net
- DNS ASK wi####supply.net
- DNS ASK su####supply.net
- DNS ASK ch###arrive.net
- DNS ASK th###arrive.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
