Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Socket Visual Block Distributed' = 'C:\obsxnmp\woeraghsrt.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Telephony COM User Window Browser Store] 'ImagePath' = 'C:\obsxnmp\woeraghsrt.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Telephony COM User Window Browser Store] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\obsxnmp\yxfciuzzkgsb.exe' "c:\obsxnmp\woeraghsrt.exe"
- 'C:\obsxnmp\woeraghsrt.exe'
- 'C:\obsxnmp\r8uxk2q1iqrzlqma6tcx.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\obsxnmp\woeraghsrt.exe
- C:\obsxnmp\yxfciuzzkgsb.exe
- C:\obsxnmp\r8uxk2q1iqrzlqma6tcx.exe
- %WINDIR%\obsxnmp\botccqanr
- C:\obsxnmp\botccqanr
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\obsxnmp\yxfciuzzkgsb.exe
- C:\obsxnmp\woeraghsrt.exe
Удаляет следующие файлы:
- C:\obsxnmp\r8uxk2q1iqrzlqma6tcx.exe
- %WINDIR%\obsxnmp\botccqanr
Сетевая активность:
Подключается к:
- 'sm###space.net':80
- 'wo###space.net':80
- 'wo###travel.net':80
- 'wo###yellow.net':80
- 'sm###travel.net':80
- 'th####tyellow.net':80
- 'wa###travel.net':80
- 'wa###yellow.net':80
- 'wa###close.net':80
- 'th####tclose.net':80
- 'sm###yellow.net':80
- 'pa###yellow.net':80
- 'fi###travel.net':80
- 'fi###yellow.net':80
- 'fi###close.net':80
- 'pa###close.net':80
- 'sm###close.net':80
- 'wo###close.net':80
- 'pa###space.net':80
- 'pa###travel.net':80
- 'fi###space.net':80
- 'be###yellow.net':80
- 'kn###travel.net':80
- 'kn###yellow.net':80
- 'kn###close.net':80
- 'be###close.net':80
- 'me###rclose.net':80
- 'fo###wclose.net':80
- 'be###space.net':80
- 'be###travel.net':80
- 'kn###space.net':80
- 'su###rspace.net':80
- 'cr###close.net':80
- 'su###rclose.net':80
- 'th####tspace.net':80
- 'th####ttravel.net':80
- 'wa###space.net':80
- 'su####travel.net':80
- 'cr###space.net':80
- 'cr###travel.net':80
- 'cr###yellow.net':80
- 'su####yellow.net':80
TCP:
Запросы HTTP GET:
- http://sm###space.net/index.php
- http://wo###space.net/index.php
- http://wo###travel.net/index.php
- http://wo###yellow.net/index.php
- http://sm###travel.net/index.php
- http://th####tyellow.net/index.php
- http://wa###travel.net/index.php
- http://wa###yellow.net/index.php
- http://wa###close.net/index.php
- http://th####tclose.net/index.php
- http://sm###yellow.net/index.php
- http://pa###yellow.net/index.php
- http://fi###travel.net/index.php
- http://fi###yellow.net/index.php
- http://fi###close.net/index.php
- http://pa###close.net/index.php
- http://sm###close.net/index.php
- http://wo###close.net/index.php
- http://pa###space.net/index.php
- http://pa###travel.net/index.php
- http://fi###space.net/index.php
- http://be###yellow.net/index.php
- http://kn###travel.net/index.php
- http://kn###yellow.net/index.php
- http://kn###close.net/index.php
- http://be###close.net/index.php
- http://me###rclose.net/index.php
- http://fo###wclose.net/index.php
- http://be###space.net/index.php
- http://be###travel.net/index.php
- http://kn###space.net/index.php
- http://su###rspace.net/index.php
- http://cr###close.net/index.php
- http://su###rclose.net/index.php
- http://th####tspace.net/index.php
- http://th####ttravel.net/index.php
- http://wa###space.net/index.php
- http://su####travel.net/index.php
- http://cr###space.net/index.php
- http://cr###travel.net/index.php
- http://cr###yellow.net/index.php
- http://su####yellow.net/index.php
UDP:
- DNS ASK wo###travel.net
- DNS ASK sm###space.net
- DNS ASK sm###travel.net
- DNS ASK sm###yellow.net
- DNS ASK wo###yellow.net
- DNS ASK wa###yellow.net
- DNS ASK th####tyellow.net
- DNS ASK th####tclose.net
- DNS ASK wo###space.net
- DNS ASK wa###close.net
- DNS ASK wo###close.net
- DNS ASK fi###yellow.net
- DNS ASK pa###yellow.net
- DNS ASK pa###close.net
- DNS ASK se####beyond.net
- DNS ASK fi###close.net
- DNS ASK pa###space.net
- DNS ASK sm###close.net
- DNS ASK fi###space.net
- DNS ASK fi###travel.net
- DNS ASK pa###travel.net
- DNS ASK wa###travel.net
- DNS ASK be###yellow.net
- DNS ASK kn###travel.net
- DNS ASK kn###yellow.net
- DNS ASK kn###close.net
- DNS ASK be###close.net
- DNS ASK me###rclose.net
- DNS ASK fo###wclose.net
- DNS ASK be###space.net
- DNS ASK be###travel.net
- DNS ASK kn###space.net
- DNS ASK su###rspace.net
- DNS ASK cr###close.net
- DNS ASK su###rclose.net
- DNS ASK th####tspace.net
- DNS ASK th####ttravel.net
- DNS ASK wa###space.net
- DNS ASK su####travel.net
- DNS ASK cr###space.net
- DNS ASK cr###travel.net
- DNS ASK cr###yellow.net
- DNS ASK su####yellow.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
