Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Credential Encryption RPC Registry NGEN' = '%APPDATA%\ifladkvfomrdl\vbdqmpyceiyp.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\ifladkvfomrdl\pkzanmltzqs.exe' "%APPDATA%\ifladkvfomrdl\vbdqmpyceiyp.exe"
- '%APPDATA%\ifladkvfomrdl\vbdqmpyceiyp.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ifladkvfomrdl\vbdqmpyceiyp.ixyk
- %APPDATA%\ifladkvfomrdl\pkzanmltzqs.exe
- %APPDATA%\ifladkvfomrdl\vbdqmpyceiyp.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\ifladkvfomrdl\vbdqmpyceiyp.exe
Сетевая активность:
Подключается к:
- 'kn###choose.net':80
- 'be####lthough.net':80
- 'kn####lthough.net':80
- 'fo####however.net':80
- 'me####however.net':80
- 'be###choose.net':80
- 'be###period.net':80
- 'su####choose.net':80
- 'cr###choose.net':80
- 'su####although.net':80
- 'kn###period.net':80
- 'be####owever.net':80
- 'kn####owever.net':80
- 'me####period.net':80
- 'al####yalthough.net':80
- 'ge####manperiod.net':80
- 'al####yperiod.net':80
- 'ge####manchoose.net':80
- 'al####ychoose.net':80
- 'ge#####analthough.net':80
- 'ge#####anhowever.net':80
- 'fo####although.net':80
- 'me####although.net':80
- 'fo####period.net':80
- 'al####yhowever.net':80
- 'fo####choose.net':80
- 'me####choose.net':80
TCP:
Запросы HTTP GET:
- http://kn###choose.net/index.php?em##########################################
- http://be####lthough.net/index.php?em##########################################
- http://kn####lthough.net/index.php?em##########################################
- http://fo####however.net/index.php?em##########################################
- http://me####however.net/index.php?em##########################################
- http://be###choose.net/index.php?em##########################################
- http://be###period.net/index.php?em##########################################
- http://su####choose.net/index.php?em##########################################
- http://cr###choose.net/index.php?em##########################################
- http://su####although.net/index.php?em##########################################
- http://kn###period.net/index.php?em##########################################
- http://be####owever.net/index.php?em##########################################
- http://kn####owever.net/index.php?em##########################################
- http://me####period.net/index.php?em##########################################
- http://al####yalthough.net/index.php?em##########################################
- http://ge####manperiod.net/index.php?em##########################################
- http://al####yperiod.net/index.php?em##########################################
- http://ge####manchoose.net/index.php?em##########################################
- http://al####ychoose.net/index.php?em##########################################
- http://ge#####analthough.net/index.php?em##########################################
- http://ge#####anhowever.net/index.php?em##########################################
- http://fo####although.net/index.php?em##########################################
- http://me####although.net/index.php?em##########################################
- http://fo####period.net/index.php?em##########################################
- http://al####yhowever.net/index.php?em##########################################
- http://fo####choose.net/index.php?em##########################################
- http://me####choose.net/index.php?em##########################################
UDP:
- DNS ASK be####lthough.net
- DNS ASK kn####lthough.net
- DNS ASK be###period.net
- DNS ASK kn###choose.net
- DNS ASK fo####however.net
- DNS ASK me####however.net
- DNS ASK be###choose.net
- DNS ASK cr###choose.net
- DNS ASK su####although.net
- DNS ASK cr####lthough.net
- DNS ASK su####choose.net
- DNS ASK kn###period.net
- DNS ASK be####owever.net
- DNS ASK kn####owever.net
- DNS ASK ge####manperiod.net
- DNS ASK al####yperiod.net
- DNS ASK ge#####anhowever.net
- DNS ASK al####yalthough.net
- DNS ASK ge####manchoose.net
- DNS ASK al####ychoose.net
- DNS ASK ge#####analthough.net
- DNS ASK me####although.net
- DNS ASK fo####period.net
- DNS ASK me####period.net
- DNS ASK fo####although.net
- DNS ASK al####yhowever.net
- DNS ASK fo####choose.net
- DNS ASK me####choose.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
