Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Engine Configuration WWAN Background' = '%APPDATA%\cjxmczign\eollljauhlhk.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\cjxmczign\ofhwtuytpz.exe' "%APPDATA%\cjxmczign\eollljauhlhk.exe"
- '%APPDATA%\cjxmczign\eollljauhlhk.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\cjxmczign\eollljauhlhk.dkwr
- %APPDATA%\cjxmczign\ofhwtuytpz.exe
- %APPDATA%\cjxmczign\eollljauhlhk.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\cjxmczign\eollljauhlhk.exe
Сетевая активность:
Подключается к:
- 'th###reason.net':80
- 'ch###reason.net':80
- 'th###almost.net':80
- 'ch###value.net':80
- 'th####rderly.net':80
- 'ch####rderly.net':80
- 'be####orderly.net':80
- 'ri####orderly.net':80
- 'be####reason.net':80
- 'ch###almost.net':80
- 'be###gvalue.net':80
- 'ri###nvalue.net':80
- 'su###rvalue.net':80
- 'wi###nvalue.net':80
- 'su####orderly.net':80
- 'ef####reason.net':80
- 'th####halmost.net':80
- 'ef####almost.net':80
- 'su####almost.net':80
- 'wi####almost.net':80
- 'th###value.net':80
- 'wi####orderly.net':80
- 'su####reason.net':80
- 'wi####reason.net':80
- 'ri####reason.net':80
- 'jo####yreason.net':80
- 'hu####dalmost.net':80
- 'jo####yalmost.net':80
- 'hu####dorderly.net':80
- 'jo####yorderly.net':80
- 'hu####dreason.net':80
- 'th####ifference.net':80
- 'cl###charge.net':80
- 'th###charge.net':80
- 'cl###every.net':80
- 'th###every.net':80
- 'cl####ifference.net':80
- 'de####yvalue.net':80
- 'li####orderly.net':80
- 'de####yorderly.net':80
- 'be####almost.net':80
- 'ri####almost.net':80
- 'li###evalue.net':80
- 'de####yalmost.net':80
- 'hu####dvalue.net':80
- 'jo####yvalue.net':80
- 'li####reason.net':80
- 'de####yreason.net':80
- 'li####almost.net':80
TCP:
Запросы HTTP GET:
- th###reason.net/index.php?em#######################################
- ch###reason.net/index.php?em#######################################
- th###almost.net/index.php?em#######################################
- ch###value.net/index.php?em#######################################
- th####rderly.net/index.php?em#######################################
- ch####rderly.net/index.php?em#######################################
- be####orderly.net/index.php?em#######################################
- ri####orderly.net/index.php?em#######################################
- be####reason.net/index.php?em#######################################
- ch###almost.net/index.php?em#######################################
- be###gvalue.net/index.php?em#######################################
- ri###nvalue.net/index.php?em#######################################
- su###rvalue.net/index.php?em#######################################
- wi###nvalue.net/index.php?em#######################################
- su####orderly.net/index.php?em#######################################
- ef####reason.net/index.php?em#######################################
- th####halmost.net/index.php?em#######################################
- ef####almost.net/index.php?em#######################################
- su####almost.net/index.php?em#######################################
- wi####almost.net/index.php?em#######################################
- th###value.net/index.php?em#######################################
- wi####orderly.net/index.php?em#######################################
- su####reason.net/index.php?em#######################################
- wi####reason.net/index.php?em#######################################
- ri####reason.net/index.php?em#######################################
- jo####yreason.net/index.php?em#######################################
- hu####dalmost.net/index.php?em#######################################
- jo####yalmost.net/index.php?em#######################################
- hu####dorderly.net/index.php?em#######################################
- jo####yorderly.net/index.php?em#######################################
- hu####dreason.net/index.php?em#######################################
- th####ifference.net/index.php?em#######################################
- cl###charge.net/index.php?em#######################################
- th###charge.net/index.php?em#######################################
- cl###every.net/index.php?em#######################################
- th###every.net/index.php?em#######################################
- cl####ifference.net/index.php?em#######################################
- de####yvalue.net/index.php?em#######################################
- li####orderly.net/index.php?em#######################################
- de####yorderly.net/index.php?em#######################################
- be####almost.net/index.php?em#######################################
- ri####almost.net/index.php?em#######################################
- li###evalue.net/index.php?em#######################################
- de####yalmost.net/index.php?em#######################################
- hu####dvalue.net/index.php?em#######################################
- jo####yvalue.net/index.php?em#######################################
- li####reason.net/index.php?em#######################################
- de####yreason.net/index.php?em#######################################
- li####almost.net/index.php?em#######################################
UDP:
- DNS ASK th###reason.net
- DNS ASK ch###reason.net
- DNS ASK th###almost.net
- DNS ASK ch###value.net
- DNS ASK th####rderly.net
- DNS ASK ch####rderly.net
- DNS ASK be####orderly.net
- DNS ASK ri####orderly.net
- DNS ASK be####reason.net
- DNS ASK ch###almost.net
- DNS ASK be###gvalue.net
- DNS ASK ri###nvalue.net
- DNS ASK su###rvalue.net
- DNS ASK wi###nvalue.net
- DNS ASK su####orderly.net
- DNS ASK ef####reason.net
- DNS ASK th####halmost.net
- DNS ASK ef####almost.net
- DNS ASK su####almost.net
- DNS ASK wi####almost.net
- DNS ASK th###value.net
- DNS ASK wi####orderly.net
- DNS ASK su####reason.net
- DNS ASK wi####reason.net
- DNS ASK ri####reason.net
- DNS ASK jo####yreason.net
- DNS ASK hu####dalmost.net
- DNS ASK jo####yalmost.net
- DNS ASK hu####dorderly.net
- DNS ASK jo####yorderly.net
- DNS ASK hu####dreason.net
- DNS ASK th####ifference.net
- DNS ASK cl###charge.net
- DNS ASK th###charge.net
- DNS ASK cl###every.net
- DNS ASK th###every.net
- DNS ASK cl####ifference.net
- DNS ASK de####yvalue.net
- DNS ASK li####orderly.net
- DNS ASK de####yorderly.net
- DNS ASK be####almost.net
- DNS ASK ri####almost.net
- DNS ASK li###evalue.net
- DNS ASK de####yalmost.net
- DNS ASK hu####dvalue.net
- DNS ASK jo####yvalue.net
- DNS ASK li####reason.net
- DNS ASK de####yreason.net
- DNS ASK li####almost.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
