Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Print Extender Socket Media User Solutions' = '<SYSTEM32>\yipjhheltkz.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Procedure Log Remote IKE Player] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\hyrnxyp.exe' "<SYSTEM32>\yipjhheltkz.exe"
- '%WINDIR%\Temp\qltrsu3rr5act.exe' -r 29772 tcp
- '%TEMP%\qltrsu2zypactmymosst.exe'
- '<SYSTEM32>\yipjhheltkz.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\kwhrwkqhxtcwbs\run
- <SYSTEM32>\kwhrwkqhxtcwbs\rng
- %WINDIR%\Temp\qltrsu3rr5act.exe
- <SYSTEM32>\kwhrwkqhxtcwbs\cfg
- <SYSTEM32>\hyrnxyp.exe
- %TEMP%\qltrsu2zypactmymosst.exe
- <SYSTEM32>\kwhrwkqhxtcwbs\tst
- <SYSTEM32>\yipjhheltkz.exe
- <SYSTEM32>\kwhrwkqhxtcwbs\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\hyrnxyp.exe
- <SYSTEM32>\yipjhheltkz.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\qltrsu3rr5act.exe
- <DRIVERS>\etc\hosts
- %TEMP%\qltrsu2zypactmymosst.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'mi###each.net':80
- 'tr###raise.net':80
- 'tr###reach.net':80
- 'du###rice.net':80
- 'wi###rice.net':80
- 'mi###aise.net':80
- 'mi###rice.net':80
- 'da###orn.net':80
- 'tr###price.net':80
- 'tr###croud.net':80
- 'mi###roud.net':80
- 'wi###roud.net':80
- 'th###croud.net':80
- 'si###price.net':80
- 'si###croud.net':80
- 'si###raise.net':80
- 'th###raise.net':80
- 'th###price.net':80
- 'wi###aise.net':80
- 'du###roud.net':80
- 'du###aise.net':80
- 'du###each.net':80
- 'wi###each.net':80
- 'mo###orn.net':80
- 'su###yborn.net':80
- 'me###loth.net':80
- 'me###aid.net':80
- 'si###loth.net':80
- 'mo###ugust.net':80
- 'be##lxc.com':80
- 'ri###nstorm.net':80
- 'de###lxc.com':80
- 'su####august.net':80
- 'mo###aid.net':80
- 'si###aid.net':80
- 'da###aid.net':80
- 'cl###paid.net':80
- 'cl###august.net':80
- 'cl###born.net':80
- 'da###ugust.net':80
- 'da###loth.net':80
- 'si###ugust.net':80
- 'me###ugust.net':80
- 'me###orn.net':80
- 'cl###cloth.net':80
- 'si###orn.net':80
TCP:
Запросы HTTP GET:
- http://mi###each.net/index.php
- http://tr###raise.net/index.php
- http://tr###reach.net/index.php
- http://du###rice.net/index.php
- http://wi###rice.net/index.php
- http://mi###aise.net/index.php
- http://mi###rice.net/index.php
- http://da###orn.net/index.php
- http://tr###price.net/index.php
- http://tr###croud.net/index.php
- http://mi###roud.net/index.php
- http://wi###roud.net/index.php
- http://th###croud.net/index.php
- http://si###price.net/index.php
- http://si###croud.net/index.php
- http://si###raise.net/index.php
- http://th###raise.net/index.php
- http://th###price.net/index.php
- http://wi###aise.net/index.php
- http://du###roud.net/index.php
- http://du###aise.net/index.php
- http://du###each.net/index.php
- http://wi###each.net/index.php
- http://mo###orn.net/index.php
- http://su###yborn.net/index.php
- http://me###loth.net/index.php
- http://me###aid.net/index.php
- http://si###loth.net/index.php
- http://mo###ugust.net/index.php
- http://be##lxc.com/index.php
- http://ri###nstorm.net/index.php
- http://de###lxc.com/index.php
- http://su####august.net/index.php
- http://mo###aid.net/index.php
- http://si###aid.net/index.php
- http://da###aid.net/index.php
- http://cl###paid.net/index.php
- http://cl###august.net/index.php
- http://cl###born.net/index.php
- http://da###ugust.net/index.php
- http://da###loth.net/index.php
- http://si###ugust.net/index.php
- http://me###ugust.net/index.php
- http://me###orn.net/index.php
- http://cl###cloth.net/index.php
- http://si###orn.net/index.php
UDP:
- DNS ASK tr###reach.net
- DNS ASK mi###each.net
- DNS ASK tr###raise.net
- DNS ASK wi###roud.net
- DNS ASK du###rice.net
- DNS ASK wi###rice.net
- DNS ASK tr###price.net
- DNS ASK mi###rice.net
- DNS ASK da###orn.net
- DNS ASK mi###aise.net
- DNS ASK tr###croud.net
- DNS ASK mi###roud.net
- DNS ASK si###croud.net
- DNS ASK th###croud.net
- DNS ASK si###price.net
- DNS ASK th###reach.net
- DNS ASK si###raise.net
- DNS ASK th###raise.net
- DNS ASK du###aise.net
- DNS ASK wi###aise.net
- DNS ASK du###roud.net
- DNS ASK th###price.net
- DNS ASK du###each.net
- DNS ASK wi###each.net
- DNS ASK cl###born.net
- DNS ASK su###yborn.net
- DNS ASK mo###ugust.net
- DNS ASK mo###orn.net
- DNS ASK si###loth.net
- DNS ASK me###loth.net
- DNS ASK su####august.net
- DNS ASK af###sllc.com
- DNS ASK ri###nstorm.net
- DNS ASK be##lxc.com
- DNS ASK mo###aid.net
- DNS ASK de###lxc.com
- DNS ASK me###aid.net
- DNS ASK cl###paid.net
- DNS ASK da###loth.net
- DNS ASK da###aid.net
- DNS ASK da###ugust.net
- DNS ASK cl###august.net
- DNS ASK cl###cloth.net
- DNS ASK me###ugust.net
- DNS ASK si###aid.net
- DNS ASK si###ugust.net
- DNS ASK si###orn.net
- DNS ASK me###orn.net
- '23#.#55.255.250':1900
