Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Portable Ordering Proxy Visual Source Endpoint' = '%APPDATA%\wxvqzrspewj\meuhhjzodp.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\wxvqzrspewj\qckjhrrvyfq.exe' "%APPDATA%\wxvqzrspewj\meuhhjzodp.exe"
- '%APPDATA%\wxvqzrspewj\meuhhjzodp.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\wxvqzrspewj\meuhhjzodp.izu
- %APPDATA%\wxvqzrspewj\qckjhrrvyfq.exe
- %APPDATA%\wxvqzrspewj\meuhhjzodp.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\wxvqzrspewj\qckjhrrvyfq.exe
- %APPDATA%\wxvqzrspewj\meuhhjzodp.exe
Сетевая активность:
Подключается к:
- 'ne#####rypresident.net':80
- 'pl#####tpresident.net':80
- 'ne#####rytrouble.net':80
- 'pl####ntcaught.net':80
- 're####estrong.net':80
- 'or###strong.net':80
- 'ne####arycaught.net':80
- 'di####ultcaught.net':80
- 'he####resident.net':80
- 'di#####ltpresident.net':80
- 'he###caught.net':80
- 'pl####nttrouble.net':80
- 'ne####arystrong.net':80
- 'pl####ntstrong.net':80
- 'he####trouble.net':80
- 'le####trouble.net':80
- 'he####strong.net':80
- 'le####president.net':80
- 'he####caught.net':80
- 'le####caught.net':80
- 'he####president.net':80
- 'or####resident.net':80
- 're####etrouble.net':80
- 'or####rouble.net':80
- 're#####president.net':80
- 'le####strong.net':80
- 're####ecaught.net':80
- 'or###caught.net':80
- 'fo####dstrong.net':80
- 'de####strong.net':80
- 're####arrive.net':80
- 'de####trouble.net':80
- 'fo#####president.net':80
- 'de####president.net':80
- 'fo####dtrouble.net':80
- 'va####sdistance.net':80
- 're####supply.net':80
- 'va####ssupply.net':80
- 're####distance.net':80
- 'va####sarrive.net':80
- 're####office.net':80
- 'va####soffice.net':80
- 'gl###caught.net':80
- 'an####caught.net':80
- 'gl####resident.net':80
- 'di####ultstrong.net':80
- 'he####rouble.net':80
- 'di#####lttrouble.net':80
- 'he###strong.net':80
- 'an####strong.net':80
- 'fo####dcaught.net':80
- 'de####caught.net':80
- 'gl###strong.net':80
- 'an####president.net':80
- 'gl####rouble.net':80
- 'an####trouble.net':80
TCP:
Запросы HTTP GET:
- http://ne#####rypresident.net/forum/search.php?em##################################
- http://pl#####tpresident.net/forum/search.php?em##################################
- http://ne#####rytrouble.net/forum/search.php?em##################################
- http://pl####ntcaught.net/forum/search.php?em##################################
- http://re####estrong.net/forum/search.php?em##################################
- http://or###strong.net/forum/search.php?em##################################
- http://ne####arycaught.net/forum/search.php?em##################################
- http://di####ultcaught.net/forum/search.php?em##################################
- http://he####resident.net/forum/search.php?em##################################
- http://di#####ltpresident.net/forum/search.php?em##################################
- http://he###caught.net/forum/search.php?em##################################
- http://pl####nttrouble.net/forum/search.php?em##################################
- http://ne####arystrong.net/forum/search.php?em##################################
- http://pl####ntstrong.net/forum/search.php?em##################################
- http://he####trouble.net/forum/search.php?em##################################
- http://le####trouble.net/forum/search.php?em##################################
- http://he####strong.net/forum/search.php?em##################################
- http://le####president.net/forum/search.php?em##################################
- http://he####caught.net/forum/search.php?em##################################
- http://le####caught.net/forum/search.php?em##################################
- http://he####president.net/forum/search.php?em##################################
- http://or####resident.net/forum/search.php?em##################################
- http://re####etrouble.net/forum/search.php?em##################################
- http://or####rouble.net/forum/search.php?em##################################
- http://re#####president.net/forum/search.php?em##################################
- http://le####strong.net/forum/search.php?em##################################
- http://re####ecaught.net/forum/search.php?em##################################
- http://or###caught.net/forum/search.php?em##################################
- http://fo####dstrong.net/forum/search.php?em##################################
- http://de####strong.net/forum/search.php?em##################################
- http://re####arrive.net/forum/search.php?em##################################
- http://de####trouble.net/forum/search.php?em##################################
- http://fo#####president.net/forum/search.php?em##################################
- http://de####president.net/forum/search.php?em##################################
- http://fo####dtrouble.net/forum/search.php?em##################################
- http://va####sdistance.net/forum/search.php?em##################################
- http://re####supply.net/forum/search.php?em##################################
- http://va####ssupply.net/forum/search.php?em##################################
- http://re####distance.net/forum/search.php?em##################################
- http://va####sarrive.net/forum/search.php?em##################################
- http://re####office.net/forum/search.php?em##################################
- http://va####soffice.net/forum/search.php?em##################################
- http://gl###caught.net/forum/search.php?em##################################
- http://an####caught.net/forum/search.php?em##################################
- http://gl####resident.net/forum/search.php?em##################################
- http://di####ultstrong.net/forum/search.php?em##################################
- http://he####rouble.net/forum/search.php?em##################################
- http://di#####lttrouble.net/forum/search.php?em##################################
- http://he###strong.net/forum/search.php?em##################################
- http://an####strong.net/forum/search.php?em##################################
- http://fo####dcaught.net/forum/search.php?em##################################
- http://de####caught.net/forum/search.php?em##################################
- http://gl###strong.net/forum/search.php?em##################################
- http://an####president.net/forum/search.php?em##################################
- http://gl####rouble.net/forum/search.php?em##################################
- http://an####trouble.net/forum/search.php?em##################################
UDP:
- DNS ASK ne#####rypresident.net
- DNS ASK pl#####tpresident.net
- DNS ASK ne#####rytrouble.net
- DNS ASK pl####ntcaught.net
- DNS ASK re####estrong.net
- DNS ASK or###strong.net
- DNS ASK ne####arycaught.net
- DNS ASK di####ultcaught.net
- DNS ASK he####resident.net
- DNS ASK di#####ltpresident.net
- DNS ASK he###caught.net
- DNS ASK pl####nttrouble.net
- DNS ASK ne####arystrong.net
- DNS ASK pl####ntstrong.net
- DNS ASK he####trouble.net
- DNS ASK le####trouble.net
- DNS ASK he####strong.net
- DNS ASK le####president.net
- DNS ASK he####caught.net
- DNS ASK le####caught.net
- DNS ASK he####president.net
- DNS ASK or####resident.net
- DNS ASK re####etrouble.net
- DNS ASK or####rouble.net
- DNS ASK re#####president.net
- DNS ASK le####strong.net
- DNS ASK re####ecaught.net
- DNS ASK or###caught.net
- DNS ASK fo####dstrong.net
- DNS ASK de####strong.net
- DNS ASK re####arrive.net
- DNS ASK de####trouble.net
- DNS ASK fo#####president.net
- DNS ASK de####president.net
- DNS ASK fo####dtrouble.net
- DNS ASK va####sdistance.net
- DNS ASK re####supply.net
- DNS ASK va####ssupply.net
- DNS ASK re####distance.net
- DNS ASK va####sarrive.net
- DNS ASK re####office.net
- DNS ASK va####soffice.net
- DNS ASK gl###caught.net
- DNS ASK an####caught.net
- DNS ASK gl####resident.net
- DNS ASK di####ultstrong.net
- DNS ASK he####rouble.net
- DNS ASK di#####lttrouble.net
- DNS ASK he###strong.net
- DNS ASK an####strong.net
- DNS ASK fo####dcaught.net
- DNS ASK de####caught.net
- DNS ASK gl###strong.net
- DNS ASK an####president.net
- DNS ASK gl####rouble.net
- DNS ASK an####trouble.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
