Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Redirector NGEN Defender Auto' = '<SYSTEM32>\triqhxqi.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\UserMode Volume CardSpace Player Secure Plug] 'ImagePath' = '<SYSTEM32>\triqhxqi.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\UserMode Volume CardSpace Player Secure Plug] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\kxmdhvfjtub.exe' "<SYSTEM32>\triqhxqi.exe"
- '%WINDIR%\Temp\jcazdqz3nluvik.exe' -r 51420 tcp
- '%TEMP%\jcazdqz3c3cviktafhujda.exe'
- '<SYSTEM32>\triqhxqi.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\sdmoiiksjnuuc\run
- <SYSTEM32>\sdmoiiksjnuuc\rng
- %WINDIR%\Temp\jcazdqz3nluvik.exe
- <SYSTEM32>\sdmoiiksjnuuc\cfg
- <SYSTEM32>\kxmdhvfjtub.exe
- %TEMP%\jcazdqz3c3cviktafhujda.exe
- <SYSTEM32>\sdmoiiksjnuuc\tst
- <SYSTEM32>\triqhxqi.exe
- <SYSTEM32>\sdmoiiksjnuuc\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\kxmdhvfjtub.exe
- <SYSTEM32>\triqhxqi.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\jcazdqz3nluvik.exe
- <DRIVERS>\etc\hosts
- %TEMP%\jcazdqz3c3cviktafhujda.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'we####dayabout.net':80
- 'se###bout.net':80
- 'se###hild.net':80
- 'se###nto.net':80
- 'we####daychild.net':80
- 'af###into.net':80
- 'fo###child.net':80
- 'fo###into.net':80
- 'fo###place.net':80
- 'af###place.net':80
- 'we####dayinto.net':80
- 'dr###into.net':80
- 'na###hild.net':80
- 'na###nto.net':80
- 'na###lace.net':80
- 'dr###place.net':80
- 'we####dayplace.net':80
- 'se###lace.net':80
- 'dr###about.net':80
- 'dr###child.net':80
- 'na###bout.net':80
- 'af###child.net':80
- 'wa###hild.net':80
- 'mo###child.net':80
- 'mo###into.net':80
- 'mo###place.net':80
- 'wa###nto.net':80
- 'af###sllc.com':80
- 'ri###nstorm.net':80
- 'be##lxc.com':80
- 'wa###bout.net':80
- 'de###lxc.com':80
- 'wa###lace.net':80
- 'st###place.net':80
- 'we###nto.net':80
- 'we###lace.net':80
- 'fo###about.net':80
- 'af###about.net':80
- 'we###bout.net':80
- 'st###about.net':80
- 'st###child.net':80
- 'st###into.net':80
- 'we###hild.net':80
TCP:
Запросы HTTP GET:
- http://we####dayabout.net/index.php
- http://se###bout.net/index.php
- http://se###hild.net/index.php
- http://se###nto.net/index.php
- http://we####daychild.net/index.php
- http://af###into.net/index.php
- http://fo###child.net/index.php
- http://fo###into.net/index.php
- http://fo###place.net/index.php
- http://af###place.net/index.php
- http://we####dayinto.net/index.php
- http://dr###into.net/index.php
- http://na###hild.net/index.php
- http://na###nto.net/index.php
- http://na###lace.net/index.php
- http://dr###place.net/index.php
- http://we####dayplace.net/index.php
- http://se###lace.net/index.php
- http://dr###about.net/index.php
- http://dr###child.net/index.php
- http://na###bout.net/index.php
- http://af###child.net/index.php
- http://wa###hild.net/index.php
- http://mo###child.net/index.php
- http://mo###into.net/index.php
- http://mo###place.net/index.php
- http://wa###nto.net/index.php
- http://af###sllc.com/index.php
- http://ri###nstorm.net/index.php
- http://be##lxc.com/index.php
- http://wa###bout.net/index.php
- http://de###lxc.com/index.php
- http://wa###lace.net/index.php
- http://st###place.net/index.php
- http://we###nto.net/index.php
- http://we###lace.net/index.php
- http://fo###about.net/index.php
- http://af###about.net/index.php
- http://we###bout.net/index.php
- http://st###about.net/index.php
- http://st###child.net/index.php
- http://st###into.net/index.php
- http://we###hild.net/index.php
UDP:
- DNS ASK se###hild.net
- DNS ASK we####dayabout.net
- DNS ASK we####daychild.net
- DNS ASK we####dayinto.net
- DNS ASK se###nto.net
- DNS ASK se###bout.net
- DNS ASK af###into.net
- DNS ASK fo###child.net
- DNS ASK fo###into.net
- DNS ASK fo###place.net
- DNS ASK af###place.net
- DNS ASK na###nto.net
- DNS ASK dr###into.net
- DNS ASK dr###place.net
- DNS ASK fi###never.net
- DNS ASK na###lace.net
- DNS ASK na###hild.net
- DNS ASK we####dayplace.net
- DNS ASK se###lace.net
- DNS ASK dr###about.net
- DNS ASK dr###child.net
- DNS ASK na###bout.net
- DNS ASK af###child.net
- DNS ASK wa###hild.net
- DNS ASK mo###child.net
- DNS ASK mo###into.net
- DNS ASK mo###place.net
- DNS ASK wa###nto.net
- DNS ASK af###sllc.com
- DNS ASK ri###nstorm.net
- DNS ASK be##lxc.com
- DNS ASK wa###bout.net
- DNS ASK de###lxc.com
- DNS ASK wa###lace.net
- DNS ASK st###place.net
- DNS ASK we###nto.net
- DNS ASK we###lace.net
- DNS ASK fo###about.net
- DNS ASK af###about.net
- DNS ASK we###bout.net
- DNS ASK st###about.net
- DNS ASK st###child.net
- DNS ASK st###into.net
- DNS ASK we###hild.net
- '23#.#55.255.250':1900
