Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Endpoint Instrumentation Coordinator Link CNG' = 'C:\qecdlyierfcnxow\sfszzopbf.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\qecdlyierfcnxow\abbsrgvls.exe' "c:\qecdlyierfcnxow\sfszzopbf.exe"
- 'C:\qecdlyierfcnxow\sfszzopbf.exe'
- 'C:\qecdlyierfcnxow\pqn2l2pm2qqsohkhxey.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\qecdlyierfcnxow\sfszzopbf.exe
- C:\qecdlyierfcnxow\abbsrgvls.exe
- C:\qecdlyierfcnxow\pqn2l2pm2qqsohkhxey.exe
- %WINDIR%\qecdlyierfcnxow\hzfuuonuat
- C:\qecdlyierfcnxow\hzfuuonuat
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\qecdlyierfcnxow\abbsrgvls.exe
- C:\qecdlyierfcnxow\sfszzopbf.exe
Удаляет следующие файлы:
- C:\qecdlyierfcnxow\pqn2l2pm2qqsohkhxey.exe
- %WINDIR%\qecdlyierfcnxow\hzfuuonuat
Подменяет следующие файлы:
- %WINDIR%\qecdlyierfcnxow\hzfuuonuat
Сетевая активность:
Подключается к:
- 'wo###during.net':80
- 'sm###during.net':80
- 'pa###length.net':80
- 'sm###indeed.net':80
- 'wo###notice.net':80
- 'sm###notice.net':80
- 'wo###indeed.net':80
- 'fi###indeed.net':80
- 'pa###during.net':80
- 'fi###during.net':80
- 'pa###indeed.net':80
- 'fi###length.net':80
- 'pa###notice.net':80
- 'fi###notice.net':80
- 'sm###length.net':80
- 'cr###during.net':80
- 'th####tlength.net':80
- 'wa###length.net':80
- 'su####during.net':80
- 'cr###notice.net':80
- 'su####indeed.net':80
- 'cr###indeed.net':80
- 'th####tduring.net':80
- 'wa###during.net':80
- 'wo###length.net':80
- 'wa###indeed.net':80
- 'th####tnotice.net':80
- 'wa###notice.net':80
- 'th####tindeed.net':80
TCP:
Запросы HTTP GET:
- http://wo###during.net/index.php
- http://sm###during.net/index.php
- http://pa###length.net/index.php
- http://sm###indeed.net/index.php
- http://wo###notice.net/index.php
- http://sm###notice.net/index.php
- http://wo###indeed.net/index.php
- http://fi###indeed.net/index.php
- http://pa###during.net/index.php
- http://fi###during.net/index.php
- http://pa###indeed.net/index.php
- http://fi###length.net/index.php
- http://pa###notice.net/index.php
- http://fi###notice.net/index.php
- http://sm###length.net/index.php
- http://cr###during.net/index.php
- http://th####tlength.net/index.php
- http://wa###length.net/index.php
- http://su####during.net/index.php
- http://cr###notice.net/index.php
- http://su####indeed.net/index.php
- http://cr###indeed.net/index.php
- http://th####tduring.net/index.php
- http://wa###during.net/index.php
- http://wo###length.net/index.php
- http://wa###indeed.net/index.php
- http://th####tnotice.net/index.php
- http://wa###notice.net/index.php
- http://th####tindeed.net/index.php
UDP:
- DNS ASK wo###during.net
- DNS ASK sm###during.net
- DNS ASK pa###length.net
- DNS ASK sm###indeed.net
- DNS ASK wo###notice.net
- DNS ASK sm###notice.net
- DNS ASK wo###indeed.net
- DNS ASK fi###length.net
- DNS ASK pa###during.net
- DNS ASK fi###during.net
- DNS ASK fr###clear.net
- DNS ASK fi###indeed.net
- DNS ASK pa###notice.net
- DNS ASK fi###notice.net
- DNS ASK pa###indeed.net
- DNS ASK cr###during.net
- DNS ASK th####tlength.net
- DNS ASK wa###length.net
- DNS ASK su####during.net
- DNS ASK cr###notice.net
- DNS ASK su####indeed.net
- DNS ASK cr###indeed.net
- DNS ASK th####tnotice.net
- DNS ASK wa###during.net
- DNS ASK wo###length.net
- DNS ASK sm###length.net
- DNS ASK th####tduring.net
- DNS ASK wa###notice.net
- DNS ASK th####tindeed.net
- DNS ASK wa###indeed.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
