Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\41780608] 'Name' = '%TEMP%\2.tmp'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\ndypcq.exe'
- '%TEMP%\buqupn.exe'
- '%TEMP%\snlfqpi.exe'
- '%TEMP%\yqwpf.exe'
- '%TEMP%\afiksu.exe'
- '%TEMP%\-1998166001'
- '%TEMP%\wagsrx.exe'
- '%TEMP%\xckdssnr.exe'
- '%TEMP%\svjau.exe'
- '%TEMP%\IXP000.TMP\a432cf7d.exe'
- '%TEMP%\IXP000.TMP\33acaf6c.exe'
- '%TEMP%\valnyts.exe'
- '%TEMP%\xxifda.exe'
- '%TEMP%\febwsd.exe'
- '%TEMP%\afiksu.exe' (загружен из сети Интернет)
- '%TEMP%\snlfqpi.exe' (загружен из сети Интернет)
- '%TEMP%\-1998166001' (загружен из сети Интернет)
- '%TEMP%\yqwpf.exe' (загружен из сети Интернет)
- '%TEMP%\xxifda.exe' (загружен из сети Интернет)
- '%TEMP%\febwsd.exe' (загружен из сети Интернет)
- '%TEMP%\valnyts.exe' (загружен из сети Интернет)
- '%TEMP%\svjau.exe' (загружен из сети Интернет)
- '%TEMP%\wagsrx.exe' (загружен из сети Интернет)
- '%TEMP%\xckdssnr.exe' (загружен из сети Интернет)
- '%TEMP%\ndypcq.exe' (загружен из сети Интернет)
- '%TEMP%\buqupn.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\spoolsv.exe
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1400' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1601' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'currentlevel' = '00000000'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\xckdssnr.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\occpgtx[1].php
- %TEMP%\-1998166001
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ivvvz[1].php
- %TEMP%\buqupn.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\viizz[1].php
- %TEMP%\wagsrx.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\vjjjnare[1].php
- %TEMP%\snlfqpi.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cpddhhlycp[1].php
- %TEMP%\yqwpf.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\qdquhyzccu[1].php
- %TEMP%\afiksu.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\oyllyppgu[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\ccppdtxly[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\tpghllpctg[1].php
- %TEMP%\valnyts.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\kllpcttkx[1].php
- %WINDIR%\Temp\3.tmp
- %TEMP%\IXP000.TMP\a432cf7d.exe
- %TEMP%\IXP000.TMP\33acaf6c.exe
- %TEMP%\1.tmp
- %TEMP%\febwsd.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ghuuy[1].php
- %TEMP%\ndypcq.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\cmzmqqehi[1].php
- %TEMP%\svjau.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\gtgtxkoofg[1].php
- %TEMP%\xxifda.exe
Удаляет следующие файлы:
- %TEMP%\IXP000.TMP\33acaf6c.exe
- <SYSTEM32>\svchost.exe
- %TEMP%\2.tmp
- %WINDIR%\Temp\3.tmp
Перемещает следующие файлы:
- %TEMP%\IXP000.TMP\a432cf7d.exe в %TEMP%\4.tmp
- %TEMP%\1.tmp в %TEMP%\2.tmp
Сетевая активность:
Подключается к:
- 'ab###tel.com':80
TCP:
Запросы HTTP GET:
- ab###tel.com/wawxb/qdquhyzccu.php?ad####################################
- ab###tel.com/wawxb/occpgtx.php?ad####################################
- ab###tel.com/wawxb/ivvvz.php?ad####################################
- ab###tel.com/wawxb/cpddhhlycp.php?ad##################################################################
- ab###tel.com/wawxb/vjjjnare.php?ad####################################
- ab###tel.com/wawxb/oyllyppgu.php?ad####################################
- ab###tel.com/wawxb/viizz.php?ad####################################
- ab###tel.com/wawxb/gtgtxkoofg.php?ad####################################
- ab###tel.com/wawxb/kllpcttkx.php?ad####################################
- ab###tel.com/wawxb/tpghllpctg.php?ad####################################
- ab###tel.com/wawxb/ccppdtxly.php?ad####################################
- ab###tel.com/wawxb/ghuuy.php?ad####################################
- ab###tel.com/wawxb/cmzmqqehi.php?ad####################################
UDP:
- DNS ASK ab###tel.com
