Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '<LS_APPDATA>\a72a1ac3\X'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\a72a1ac3] 'ImagePath' = '%WINDIR%\3273271975:1490412860.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\.mrxsmb] 'ImagePath' = '\?'
Вредоносные функции:
Создает и запускает на исполнение:
- <LS_APPDATA>\a72a1ac3\X
Запускает на исполнение:
- %WINDIR%\explorer.exe
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\3273271975:1490412860.exe
- %WINDIR%\$NtUninstallKB16918$\2804554435\L\acbrwqkz
- <LS_APPDATA>\a72a1ac3\@
- <LS_APPDATA>\a72a1ac3\X
Самоудаляется.
Сетевая активность:
Подключается к:
- '10#.#0.17.136':21810
- '99.##7.139.113':21810
- '94.##.214.137':21810
- '19#.#9.227.136':21810
- '12#.#45.91.241':21810
- '20#.#2.96.18':21810
- '17#.#26.195.77':21810
- '18#.#3.68.129':21810
- '49.##9.187.128':21810
- '11#.#00.76.6':21810
- '11#.#54.91.239':21810
- '71.##9.29.75':21810
- '17#.#26.46.29':21810
- '18#.#2.163.208':21810
- '11#.#02.132.76':21810
- '78.##.217.191':21810
- '20#.#34.212.84':21810
- '67.##8.149.136':21810
- '79.##4.108.206':21810
- '75.##.186.72':21810
- '10#.#22.15.99':21810
- '92.##.207.100':21810
- '18#.#5.32.229':21810
- '1.##.108.34':21810
- '20#.#32.3.167':21810
- '78.##.146.218':21810
- '82.##0.171.106':21810
- '93.##4.164.184':21810
- '18#.#26.82.225':21810
- '17#.#41.113.31':21810
- '92.##4.42.128':21810
- '18#.#2.108.189':21810
- '2.###.116.154':21810
- '84.##.206.150':21810
- '18#.#41.197.25':21810
- '89.##3.63.217':21810
- '17#.#41.15.120':21810
- '94.##.218.62':21810
- '77.##9.6.123':21810
- '41.##.91.103':21810
- '96.##.193.178':21810
- '95.##.245.35':21810
- '12#.#31.10.210':21810
- '46.##.53.184':21810
- '84.##.35.170':21810
- '17#.#.101.41':21810
- '19#.#8.254.169':21810
- '11#.#97.251.110':21810
- '95.##.187.38':21810
- '19#.#7.40.105':21810
- '79.##3.95.19':21810
- '86.##2.21.99':21810
- '17#.#76.23.98':21810
- '76.##.178.245':21810
- '11#.#54.56.66':21810
- '89.##2.35.231':21810
- '18#.#7.188.147':21810
- '66.##2.67.24':21810
- '12#.#45.40.74':21810
- '94.##1.193.169':21810
- '31.##2.65.221':21810
- '91.##7.105.124':21810
- '17#.#39.12.63':21810
- '31.##0.12.115':21810
- '10#.#51.28.43':21810
- '94.##1.240.108':21810
- '50.#.53.152':21810
- '21#.#64.34.113':21810
- '41.##.108.212':21810
- '76.##.131.43':21810
- '92.#4.72.64':21810
- '46.##4.121.120':21810
- '11#.#04.220.162':21810
- '79.##2.176.168':21810
- '39.##3.44.47':21810
- '67.##2.139.58':21810
- '18#.#8.208.60':21810
- '93.##3.177.88':21810
- '88.##8.32.52':21810
- '19#.#69.170.178':21810
- '18#.#15.179.128':21810
- '24.#.180.94':21810
- '18#.#4.205.189':21810
- '11#.#30.101.23':21810
- '17#.#48.248.162':21810
- '18#.#15.142.229':21810
- '17#.#21.111.79':21810
- '21#.#17.10.119':21810
- '82.##.93.206':21810
- '68.#04.0.98':21810
- '17#.#6.198.187':21810
- '79.##4.35.245':21810
- '11#.#98.146.112':21810
- '79.##2.142.47':21810
- '59.##.17.237':21810
- '18#.#41.66.178':21810
- '77.##.232.147':21810
- '18#.#9.81.102':21810
- '12#.#2.44.185':21810
- '79.#0.74.26':21810
- '74.##2.126.239':21810
- '17#.#51.1.51':21810
- '15#.#2.109.48':21810
- '11#.#2.94.84':21810
- '94.##0.236.117':21810
- '58.#.114.94':21810
- '19#.#05.154.210':80
- '10#.#10.22.67':21810
- '17#.#9.97.134':21810
- '18#.#2.235.246':21810
- '81.#0.10.41':21810
- '18#.#9.28.200':21810
- '11#.#93.243.57':21810
- '18#.#1.102.216':21810
- '91.##2.28.134':21810
- '83.##.224.215':21810
- '79.##9.222.232':21810
- '77.##5.123.128':21810
- '11#.#14.147.127':21810
- '19#.#7.161.57':21810
- '86.##1.139.231':21810
- '11#.#67.186.59':21810
- '24.##2.200.115':21810
- '99.##0.253.115':21810
- '17#.#57.104.123':21810
- '93.##8.208.19':21810
- '84.##.124.206':21810
- '21#.#5.224.238':21810
- '89.##5.202.64':21810
- '17#.#54.217.49':21810
- '18#.#73.183.47':21810
- '11#.#07.236.110':21810
- '12#.#1.199.171':21810
- '19#.#0.247.176':21810
- '18#.#2.206.106':21810
- '17#.#6.178.42':21810
- '95.##.189.56':21810
- '18#.#6.49.43':21810
- '89.#4.41.1':21810
- '75.##2.190.91':21810
- '11#.#11.169.114':21810
- '61.##4.47.213':21810
- '21#.#7.202.125':21810
- '18#.#37.182.15':21810
- '11#.#00.81.63':21810
- '10#.#54.60.96':21810
- '14.##.40.114':21810
- '94.##0.120.188':21810
- '75.##5.88.16':21810
- '18#.#2.201.20':21810
- '20#.#54.121.199':21810
- '83.#.23.28':21810
- '17#.#87.167.194':21810
- '18#.#8.178.240':21810
- '94.##.129.222':21810
- '91.##.181.164':21810
- '11#.#8.247.89':21810
- '76.##9.51.25':21810
- '18#.#4.167.200':21810
TCP:
Запросы HTTP GET:
- 19#.#05.154.210/stat2.php?w=##########################################
- 19#.#05.154.210/stat2.php?w=###########################################
