Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Upgrade Manager Isolation Bluetooth Provider' = '%APPDATA%\uqhcjmowamrwy\yhfsdyxwv.exe'
Вредоносные функции:
Запускает на исполнение:
- '%APPDATA%\uqhcjmowamrwy\lrhxlhx.exe' "%APPDATA%\uqhcjmowamrwy\yhfsdyxwv.exe"
- '%APPDATA%\uqhcjmowamrwy\yhfsdyxwv.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\uqhcjmowamrwy\yhfsdyxwv.yho
- %APPDATA%\uqhcjmowamrwy\lrhxlhx.exe
- %APPDATA%\uqhcjmowamrwy\yhfsdyxwv.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\uqhcjmowamrwy\yhfsdyxwv.exe
Сетевая активность:
Подключается к:
- 'fo####nattempt.net':80
- 'su####square.net':80
- 'ma####espread.net':80
- 'su####attempt.net':80
- 'fo####nneighbor.net':80
- 'su####spread.net':80
- 'fo####nsquare.net':80
- 'su####neighbor.net':80
- 'ma####eattempt.net':80
- 'pe####square.net':80
- 'be####espread.net':80
- 'pe####attempt.net':80
- 'ma####eneighbor.net':80
- 'pe####spread.net':80
- 'ma####esquare.net':80
- 'pe####neighbor.net':80
- 'fo####nspread.net':80
- 'fi####square.net':80
- 'th####square.net':80
- 'fi####attempt.net':80
- 'th####attempt.net':80
- 'fi####spread.net':80
- 'th####spread.net':80
- 'fi####neighbor.net':80
- 'th####neighbor.net':80
- 'wh####rsquare.net':80
- 'ri###square.net':80
- 'wh####rattempt.net':80
- 'ri####ttempt.net':80
- 'wh####rspread.net':80
- 'ri###spread.net':80
- 'wh####rneighbor.net':80
- 'ri####eighbor.net':80
- 'ch####ennumber.net':80
- 'fa####number.net':80
- 'pi####epartial.net':80
- 'ci#####tepartial.net':80
- 'ch####enstrike.net':80
- 'fa####strike.net':80
- 'ch#####nposition.net':80
- 'fa####position.net':80
- 'pi####enumber.net':80
- 'ci####ttenumber.net':80
- 'fi####partial.net':80
- 'th####partial.net':80
- 'pi####estrike.net':80
- 'ci####ttestrike.net':80
- 'pi####eposition.net':80
- 'ci#####teposition.net':80
- 'ch####enpartial.net':80
- 'be####eattempt.net':80
- 'ex####square.net':80
- 'en####hpartial.net':80
- 'ex####attempt.net':80
- 'be####eneighbor.net':80
- 'ex####spread.net':80
- 'be####esquare.net':80
- 'ex####neighbor.net':80
- 'en####hnumber.net':80
- 'ei####position.net':80
- 'fa####partial.net':80
- 'ei####number.net':80
- 'en####hstrike.net':80
- 'ei####partial.net':80
- 'en####hposition.net':80
- 'ei####strike.net':80
TCP:
Запросы HTTP GET:
- http://fo####nattempt.net/index.php?em##########################################
- http://su####square.net/index.php?em##########################################
- http://ma####espread.net/index.php?em##########################################
- http://su####attempt.net/index.php?em##########################################
- http://fo####nneighbor.net/index.php?em##########################################
- http://su####spread.net/index.php?em##########################################
- http://fo####nsquare.net/index.php?em##########################################
- http://su####neighbor.net/index.php?em##########################################
- http://ma####eattempt.net/index.php?em##########################################
- http://pe####square.net/index.php?em##########################################
- http://be####espread.net/index.php?em##########################################
- http://pe####attempt.net/index.php?em##########################################
- http://ma####eneighbor.net/index.php?em##########################################
- http://pe####spread.net/index.php?em##########################################
- http://ma####esquare.net/index.php?em##########################################
- http://pe####neighbor.net/index.php?em##########################################
- http://fo####nspread.net/index.php?em##########################################
- http://fi####square.net/index.php?em##########################################
- http://th####square.net/index.php?em##########################################
- http://fi####attempt.net/index.php?em##########################################
- http://th####attempt.net/index.php?em##########################################
- http://fi####spread.net/index.php?em##########################################
- http://th####spread.net/index.php?em##########################################
- http://fi####neighbor.net/index.php?em##########################################
- http://th####neighbor.net/index.php?em##########################################
- http://wh####rsquare.net/index.php?em##########################################
- http://ri###square.net/index.php?em##########################################
- http://wh####rattempt.net/index.php?em##########################################
- http://ri####ttempt.net/index.php?em##########################################
- http://wh####rspread.net/index.php?em##########################################
- http://ri###spread.net/index.php?em##########################################
- http://wh####rneighbor.net/index.php?em##########################################
- http://ri####eighbor.net/index.php?em##########################################
- http://ch####ennumber.net/index.php?em##########################################
- http://fa####number.net/index.php?em##########################################
- http://pi####epartial.net/index.php?em##########################################
- http://ci#####tepartial.net/index.php?em##########################################
- http://ch####enstrike.net/index.php?em##########################################
- http://fa####strike.net/index.php?em##########################################
- http://ch#####nposition.net/index.php?em##########################################
- http://fa####position.net/index.php?em##########################################
- http://pi####enumber.net/index.php?em##########################################
- http://ci####ttenumber.net/index.php?em##########################################
- http://fi####partial.net/index.php?em##########################################
- http://th####partial.net/index.php?em##########################################
- http://pi####estrike.net/index.php?em##########################################
- http://ci####ttestrike.net/index.php?em##########################################
- http://pi####eposition.net/index.php?em##########################################
- http://ci#####teposition.net/index.php?em##########################################
- http://ch####enpartial.net/index.php?em##########################################
- http://be####eattempt.net/index.php?em##########################################
- http://ex####square.net/index.php?em##########################################
- http://en####hpartial.net/index.php?em##########################################
- http://ex####attempt.net/index.php?em##########################################
- http://be####eneighbor.net/index.php?em##########################################
- http://ex####spread.net/index.php?em##########################################
- http://be####esquare.net/index.php?em##########################################
- http://ex####neighbor.net/index.php?em##########################################
- http://en####hnumber.net/index.php?em##########################################
- http://ei####position.net/index.php?em##########################################
- http://fa####partial.net/index.php?em##########################################
- http://ei####number.net/index.php?em##########################################
- http://en####hstrike.net/index.php?em##########################################
- http://ei####partial.net/index.php?em##########################################
- http://en####hposition.net/index.php?em##########################################
- http://ei####strike.net/index.php?em##########################################
UDP:
- DNS ASK su####square.net
- DNS ASK fo####nsquare.net
- DNS ASK su####attempt.net
- DNS ASK fo####nattempt.net
- DNS ASK su####spread.net
- DNS ASK fo####nspread.net
- DNS ASK su####neighbor.net
- DNS ASK fo####nneighbor.net
- DNS ASK pe####square.net
- DNS ASK ma####esquare.net
- DNS ASK pe####attempt.net
- DNS ASK ma####eattempt.net
- DNS ASK pe####spread.net
- DNS ASK ma####espread.net
- DNS ASK pe####neighbor.net
- DNS ASK ma####eneighbor.net
- DNS ASK wh####rattempt.net
- DNS ASK th####square.net
- DNS ASK fi####neighbor.net
- DNS ASK th####attempt.net
- DNS ASK fi####square.net
- DNS ASK th####spread.net
- DNS ASK pi####eattempt.net
- DNS ASK th####neighbor.net
- DNS ASK fi####spread.net
- DNS ASK ri###square.net
- DNS ASK wh####rneighbor.net
- DNS ASK ri####ttempt.net
- DNS ASK wh####rsquare.net
- DNS ASK ri###spread.net
- DNS ASK fi####attempt.net
- DNS ASK ri####eighbor.net
- DNS ASK wh####rspread.net
- DNS ASK be####espread.net
- DNS ASK ch####ennumber.net
- DNS ASK fa####number.net
- DNS ASK pi####epartial.net
- DNS ASK ci#####tepartial.net
- DNS ASK ch####enstrike.net
- DNS ASK fa####strike.net
- DNS ASK ch#####nposition.net
- DNS ASK fa####position.net
- DNS ASK pi####enumber.net
- DNS ASK ci####ttenumber.net
- DNS ASK fi####partial.net
- DNS ASK th####partial.net
- DNS ASK pi####estrike.net
- DNS ASK ci####ttestrike.net
- DNS ASK pi####eposition.net
- DNS ASK ci#####teposition.net
- DNS ASK ch####enpartial.net
- DNS ASK be####eattempt.net
- DNS ASK ex####square.net
- DNS ASK en####hpartial.net
- DNS ASK ex####attempt.net
- DNS ASK be####eneighbor.net
- DNS ASK ex####spread.net
- DNS ASK be####esquare.net
- DNS ASK ex####neighbor.net
- DNS ASK en####hnumber.net
- DNS ASK ei####position.net
- DNS ASK fa####partial.net
- DNS ASK ei####number.net
- DNS ASK en####hstrike.net
- DNS ASK ei####partial.net
- DNS ASK en####hposition.net
- DNS ASK ei####strike.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
