Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Log IKE Auto-Discovery DCOM Protected' = '<SYSTEM32>\tlssimjdwr.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Quality Distributed Routing Config] 'ImagePath' = '<SYSTEM32>\tlssimjdwr.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Quality Distributed Routing Config] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\qxeyoijq.exe' "<SYSTEM32>\tlssimjdwr.exe"
- '%WINDIR%\Temp\xyfk7vxh31tzinex.exe' -r 27133 tcp
- '%TEMP%\xyfk7vxh2noginexelchswwo.exe'
- '<SYSTEM32>\tlssimjdwr.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\letqrhxhxhm\run
- <SYSTEM32>\letqrhxhxhm\rng
- %WINDIR%\Temp\xyfk7vxh31tzinex.exe
- <SYSTEM32>\letqrhxhxhm\cfg
- <SYSTEM32>\qxeyoijq.exe
- %TEMP%\xyfk7vxh2noginexelchswwo.exe
- <SYSTEM32>\letqrhxhxhm\tst
- <SYSTEM32>\tlssimjdwr.exe
- <SYSTEM32>\letqrhxhxhm\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\qxeyoijq.exe
- <SYSTEM32>\tlssimjdwr.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\xyfk7vxh31tzinex.exe
- <DRIVERS>\etc\hosts
- %TEMP%\xyfk7vxh2noginexelchswwo.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'fa###uild.net':80
- 'wa###build.net':80
- 'fa###ron.net':80
- 'wa###deal.net':80
- 'fa###oll.net':80
- 'wa###roll.net':80
- 'vi###roll.net':80
- 'sp###roll.net':80
- 'vi###build.net':80
- 'wa###iron.net':80
- 'vi###deal.net':80
- 'sp###deal.net':80
- 'th###eal.net':80
- 'dr###deal.net':80
- 'th###oll.net':80
- 'ar####ctober.net':80
- 'so###shoe.net':80
- 'ar###shoe.net':80
- 'th###ron.net':80
- 'dr###iron.net':80
- 'fa###eal.net':80
- 'dr###roll.net':80
- 'th###uild.net':80
- 'dr###build.net':80
- 'sp###build.net':80
- 'al###being.net':80
- 'ca####nbring.net':80
- 'pr####tbottom.net':80
- 'ta###roll.net':80
- 'be##lxc.com':80
- 'ri###nstorm.net':80
- 'mo###ugust.net':80
- 'le###form.net':80
- 'cr#####onaraminta.net':80
- 'mo###olor.net':80
- 'ab###ell.net':80
- 'mi###hown.net':80
- 'eq###deal.net':80
- 'gr###roll.net':80
- 'eq###roll.net':80
- 'vi###iron.net':80
- 'sp###iron.net':80
- 'gr###deal.net':80
- 'eq###iron.net':80
- 'ta###deal.net':80
- 'gl###eal.net':80
- 'gr###build.net':80
- 'eq###build.net':80
- 'gr###iron.net':80
TCP:
Запросы HTTP GET:
- http://fa###uild.net/index.php
- http://wa###build.net/index.php
- http://fa###ron.net/index.php
- http://wa###deal.net/index.php
- http://fa###oll.net/index.php
- http://wa###roll.net/index.php
- http://vi###roll.net/index.php
- http://sp###roll.net/index.php
- http://vi###build.net/index.php
- http://wa###iron.net/index.php
- http://vi###deal.net/index.php
- http://sp###deal.net/index.php
- http://th###eal.net/index.php
- http://dr###deal.net/index.php
- http://th###oll.net/index.php
- http://ar####ctober.net/index.php
- http://so###shoe.net/index.php
- http://ar###shoe.net/index.php
- http://th###ron.net/index.php
- http://dr###iron.net/index.php
- http://fa###eal.net/index.php
- http://dr###roll.net/index.php
- http://th###uild.net/index.php
- http://dr###build.net/index.php
- http://sp###build.net/index.php
- http://al###being.net/index.php
- http://ca####nbring.net/index.php
- http://pr####tbottom.net/index.php
- http://ta###roll.net/index.php
- http://be##lxc.com/index.php
- http://ri###nstorm.net/index.php
- http://mo###ugust.net/index.php
- http://le###form.net/index.php
- http://cr#####onaraminta.net/index.php
- http://mo###olor.net/index.php
- http://ab###ell.net/index.php
- http://mi###hown.net/index.php
- http://eq###deal.net/index.php
- http://gr###roll.net/index.php
- http://eq###roll.net/index.php
- http://vi###iron.net/index.php
- http://sp###iron.net/index.php
- http://gr###deal.net/index.php
- http://eq###iron.net/index.php
- http://ta###deal.net/index.php
- http://gl###eal.net/index.php
- http://gr###build.net/index.php
- http://eq###build.net/index.php
- http://gr###iron.net/index.php
UDP:
- DNS ASK wa###build.net
- DNS ASK fa###ron.net
- DNS ASK wa###iron.net
- DNS ASK fa###oll.net
- DNS ASK wa###roll.net
- DNS ASK fa###uild.net
- DNS ASK sp###roll.net
- DNS ASK vi###build.net
- DNS ASK sp###build.net
- DNS ASK vi###deal.net
- DNS ASK sp###deal.net
- DNS ASK vi###roll.net
- DNS ASK wa###deal.net
- DNS ASK th###eal.net
- DNS ASK dr###deal.net
- DNS ASK th###oll.net
- DNS ASK ar####ctober.net
- DNS ASK so###shoe.net
- DNS ASK ar###shoe.net
- DNS ASK th###ron.net
- DNS ASK dr###iron.net
- DNS ASK fa###eal.net
- DNS ASK dr###roll.net
- DNS ASK th###uild.net
- DNS ASK dr###build.net
- DNS ASK al###being.net
- DNS ASK ca####nbring.net
- DNS ASK pr####tbottom.net
- DNS ASK ta###roll.net
- DNS ASK be##lxc.com
- DNS ASK ri###nstorm.net
- DNS ASK mo###ugust.net
- DNS ASK le###form.net
- DNS ASK cr#####onaraminta.net
- DNS ASK mo###olor.net
- DNS ASK ab###ell.net
- DNS ASK mi###hown.net
- DNS ASK eq###deal.net
- DNS ASK gr###roll.net
- DNS ASK eq###roll.net
- DNS ASK vi###iron.net
- DNS ASK sp###iron.net
- DNS ASK gr###deal.net
- DNS ASK eq###iron.net
- DNS ASK ta###deal.net
- DNS ASK gl###eal.net
- DNS ASK gr###build.net
- DNS ASK eq###build.net
- DNS ASK gr###iron.net
- '23#.#55.255.250':1900
