Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Experience Proxy Link-Layer Application' = '%APPDATA%\jfanwhyqynwirri\fjeuzhkfij.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\jfanwhyqynwirri\cijafilur.exe' "%APPDATA%\jfanwhyqynwirri\fjeuzhkfij.exe"
- '%APPDATA%\jfanwhyqynwirri\fjeuzhkfij.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\jfanwhyqynwirri\fjeuzhkfij.emkq
- %APPDATA%\jfanwhyqynwirri\cijafilur.exe
- %APPDATA%\jfanwhyqynwirri\fjeuzhkfij.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\jfanwhyqynwirri\fjeuzhkfij.exe
Сетевая активность:
Подключается к:
- 'be####strong.net':80
- 'ri####trouble.net':80
- 'li####caught.net':80
- 'ri####strong.net':80
- 'be####president.net':80
- 'ri####caught.net':80
- 'be####trouble.net':80
- 'ri####president.net':80
- 'de####ycaught.net':80
- 'de####ystrong.net':80
- 'li####strong.net':80
- 'jo####ycaught.net':80
- 'hu####dcaught.net':80
- 'de#####president.net':80
- 'li####president.net':80
- 'de####ytrouble.net':80
- 'li####trouble.net':80
- 'wi####trouble.net':80
- 'su####trouble.net':80
- 'wi####strong.net':80
- 'su####strong.net':80
- 'wi####caught.net':80
- 'su####caught.net':80
- 'wi####president.net':80
- 'su####president.net':80
- 'th###caught.net':80
- 'th###strong.net':80
- 'ch####rouble.net':80
- 'be####caught.net':80
- 'ch###strong.net':80
- 'th####resident.net':80
- 'ch###caught.net':80
- 'th####rouble.net':80
- 'ch####resident.net':80
- 'th####harrive.net':80
- 'fo####supply.net':80
- 'th####hoffice.net':80
- 'ef####arrive.net':80
- 'in#####edistance.net':80
- 'fo####office.net':80
- 'in####sesupply.net':80
- 'fo####distance.net':80
- 'ef####office.net':80
- 'wi####arrive.net':80
- 'su####arrive.net':80
- 'wi####office.net':80
- 'su####office.net':80
- 'ef####distance.net':80
- 'th####hdistance.net':80
- 'ef####supply.net':80
- 'th####hsupply.net':80
- 'jo####ystrong.net':80
- 'hu####dstrong.net':80
- 'wo###arrive.net':80
- 're####erarrive.net':80
- 'jo#####president.net':80
- 'hu#####president.net':80
- 'jo####ytrouble.net':80
- 'hu####dtrouble.net':80
- 're####eroffice.net':80
- 'in####searrive.net':80
- 'wo###supply.net':80
- 'in####seoffice.net':80
- 'fo####arrive.net':80
- 're#####rdistance.net':80
- 'wo###office.net':80
- 're####ersupply.net':80
- 'wo####istance.net':80
TCP:
Запросы HTTP GET:
- http://be####strong.net/index.php?em################################
- http://ri####trouble.net/index.php?em################################
- http://li####caught.net/index.php?em################################
- http://ri####strong.net/index.php?em################################
- http://be####president.net/index.php?em################################
- http://ri####caught.net/index.php?em################################
- http://be####trouble.net/index.php?em################################
- http://ri####president.net/index.php?em################################
- http://de####ycaught.net/index.php?em################################
- http://de####ystrong.net/index.php?em################################
- http://li####strong.net/index.php?em################################
- http://jo####ycaught.net/index.php?em################################
- http://hu####dcaught.net/index.php?em################################
- http://de#####president.net/index.php?em################################
- http://li####president.net/index.php?em################################
- http://de####ytrouble.net/index.php?em################################
- http://li####trouble.net/index.php?em################################
- http://wi####trouble.net/index.php?em################################
- http://su####trouble.net/index.php?em################################
- http://wi####strong.net/index.php?em################################
- http://su####strong.net/index.php?em################################
- http://wi####caught.net/index.php?em################################
- http://su####caught.net/index.php?em################################
- http://wi####president.net/index.php?em################################
- http://su####president.net/index.php?em################################
- http://th###caught.net/index.php?em################################
- http://th###strong.net/index.php?em################################
- http://ch####rouble.net/index.php?em################################
- http://be####caught.net/index.php?em################################
- http://ch###strong.net/index.php?em################################
- http://th####resident.net/index.php?em################################
- http://ch###caught.net/index.php?em################################
- http://th####rouble.net/index.php?em################################
- http://ch####resident.net/index.php?em################################
- http://th####harrive.net/index.php?em################################
- http://fo####supply.net/index.php?em################################
- http://th####hoffice.net/index.php?em################################
- http://ef####arrive.net/index.php?em################################
- http://in#####edistance.net/index.php?em################################
- http://fo####office.net/index.php?em################################
- http://in####sesupply.net/index.php?em################################
- http://fo####distance.net/index.php?em################################
- http://ef####office.net/index.php?em################################
- http://wi####arrive.net/index.php?em################################
- http://su####arrive.net/index.php?em################################
- http://wi####office.net/index.php?em################################
- http://su####office.net/index.php?em################################
- http://ef####distance.net/index.php?em################################
- http://th####hdistance.net/index.php?em################################
- http://ef####supply.net/index.php?em################################
- http://th####hsupply.net/index.php?em################################
- http://jo####ystrong.net/index.php?em################################
- http://hu####dstrong.net/index.php?em################################
- http://wo###arrive.net/index.php?em################################
- http://re####erarrive.net/index.php?em################################
- http://jo#####president.net/index.php?em################################
- http://hu#####president.net/index.php?em################################
- http://jo####ytrouble.net/index.php?em################################
- http://hu####dtrouble.net/index.php?em################################
- http://re####eroffice.net/index.php?em################################
- http://in####searrive.net/index.php?em################################
- http://wo###supply.net/index.php?em################################
- http://in####seoffice.net/index.php?em################################
- http://fo####arrive.net/index.php?em################################
- http://re#####rdistance.net/index.php?em################################
- http://wo###office.net/index.php?em################################
- http://re####ersupply.net/index.php?em################################
- http://wo####istance.net/index.php?em################################
UDP:
- DNS ASK ri####trouble.net
- DNS ASK be####trouble.net
- DNS ASK ri####strong.net
- DNS ASK be####strong.net
- DNS ASK ri####caught.net
- DNS ASK be####caught.net
- DNS ASK ri####president.net
- DNS ASK be####president.net
- DNS ASK li####caught.net
- DNS ASK li####strong.net
- DNS ASK de####ytrouble.net
- DNS ASK hu####dcaught.net
- DNS ASK de####ystrong.net
- DNS ASK li####president.net
- DNS ASK de####ycaught.net
- DNS ASK li####trouble.net
- DNS ASK de#####president.net
- DNS ASK su####trouble.net
- DNS ASK wi####president.net
- DNS ASK su####strong.net
- DNS ASK wi####trouble.net
- DNS ASK su####caught.net
- DNS ASK ef####strong.net
- DNS ASK su####president.net
- DNS ASK wi####caught.net
- DNS ASK wi####strong.net
- DNS ASK ch####rouble.net
- DNS ASK th####rouble.net
- DNS ASK ch###strong.net
- DNS ASK th###strong.net
- DNS ASK ch###caught.net
- DNS ASK th###caught.net
- DNS ASK ch####resident.net
- DNS ASK th####resident.net
- DNS ASK jo####ycaught.net
- DNS ASK th####harrive.net
- DNS ASK fo####supply.net
- DNS ASK th####hoffice.net
- DNS ASK ef####arrive.net
- DNS ASK in#####edistance.net
- DNS ASK fo####office.net
- DNS ASK in####sesupply.net
- DNS ASK fo####distance.net
- DNS ASK ef####office.net
- DNS ASK wi####arrive.net
- DNS ASK su####arrive.net
- DNS ASK wi####office.net
- DNS ASK su####office.net
- DNS ASK ef####distance.net
- DNS ASK th####hdistance.net
- DNS ASK ef####supply.net
- DNS ASK th####hsupply.net
- DNS ASK jo####ystrong.net
- DNS ASK hu####dstrong.net
- DNS ASK wo###arrive.net
- DNS ASK re####erarrive.net
- DNS ASK jo#####president.net
- DNS ASK hu#####president.net
- DNS ASK jo####ytrouble.net
- DNS ASK hu####dtrouble.net
- DNS ASK re####eroffice.net
- DNS ASK in####searrive.net
- DNS ASK wo###supply.net
- DNS ASK in####seoffice.net
- DNS ASK fo####arrive.net
- DNS ASK re#####rdistance.net
- DNS ASK wo###office.net
- DNS ASK re####ersupply.net
- DNS ASK wo####istance.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
