Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Disk Layer AutoConnect VC Files Computer TCP/IP' = '<SYSTEM32>\rjujahk.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\rjujahk.exe
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Transaction Information] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\pitrxixfkoub.exe' "<SYSTEM32>\rjujahk.exe"
- '%WINDIR%\Temp\iwsje0bo3a2vqyd.exe' -r 22520 tcp
- '%TEMP%\iwsje0bo37vvqyamuhvc0.exe'
- '<SYSTEM32>\rjujahk.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\eadrpwqbioqr\run
- <SYSTEM32>\eadrpwqbioqr\rng
- %WINDIR%\Temp\iwsje0bo3a2vqyd.exe
- <SYSTEM32>\eadrpwqbioqr\cfg
- <SYSTEM32>\pitrxixfkoub.exe
- %TEMP%\iwsje0bo37vvqyamuhvc0.exe
- <SYSTEM32>\eadrpwqbioqr\tst
- <SYSTEM32>\rjujahk.exe
- <SYSTEM32>\eadrpwqbioqr\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\pitrxixfkoub.exe
- <SYSTEM32>\rjujahk.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\iwsje0bo3a2vqyd.exe
- %TEMP%\iwsje0bo37vvqyamuhvc0.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'dr###wedge.net':80
- 'na####sterday.net':80
- 'na###edge.net':80
- 'qu###gray.net':80
- 'fi###gray.net':80
- 'dr####esterday.net':80
- 'dr###feet.net':80
- 'we####daywedge.net':80
- 'na###eet.net':80
- 'na###ach.net':80
- 'dr###each.net':80
- 'fi###april.net':80
- 'bo###pril.net':80
- 'ga###ray.net':80
- 'ga###pril.net':80
- 'ga###rmy.net':80
- 'bo###rmy.net':80
- 'bo###ray.net':80
- 'fi###army.net':80
- 'qu###april.net':80
- 'qu###army.net':80
- 'qu###edge.net':80
- 'fi###edge.net':80
- 'se###edge.net':80
- 'st###wedge.net':80
- 'we####sterday.net':80
- 'we###edge.net':80
- 'fo###feet.net':80
- 'af###feet.net':80
- 'ja###uter.com':80
- 'sp###aguga.com':80
- 'ga########all-talk-community.com':80
- 'do####club-grup.com':80
- 'go#####everytime.com':80
- 'el#####arimagine.com':80
- 'af###each.net':80
- 'se###ach.net':80
- 'we####dayfeet.net':80
- 'we####dayeach.net':80
- 'we#####ayyesterday.net':80
- 'se####sterday.net':80
- 'se###eet.net':80
- 'af####esterday.net':80
- 'fo###each.net':80
- 'fo####esterday.net':80
- 'fo###wedge.net':80
- 'af###wedge.net':80
TCP:
Запросы HTTP GET:
- dr###wedge.net/forum/search.php?me############################################
- na####sterday.net/forum/search.php?me############################################
- na###edge.net/forum/search.php?me############################################
- qu###gray.net/forum/search.php?me############################################
- fi###gray.net/forum/search.php?me############################################
- dr####esterday.net/forum/search.php?me############################################
- dr###feet.net/forum/search.php?me############################################
- we####daywedge.net/forum/search.php?me############################################
- na###eet.net/forum/search.php?me############################################
- na###ach.net/forum/search.php?me############################################
- dr###each.net/forum/search.php?me############################################
- fi###april.net/forum/search.php?me############################################
- bo###pril.net/forum/search.php?me############################################
- ga###ray.net/forum/search.php?me############################################
- ga###pril.net/forum/search.php?me############################################
- ga###rmy.net/forum/search.php?me############################################
- bo###rmy.net/forum/search.php?me############################################
- bo###ray.net/forum/search.php?me############################################
- fi###army.net/forum/search.php?me############################################
- qu###april.net/forum/search.php?me############################################
- qu###army.net/forum/search.php?me############################################
- qu###edge.net/forum/search.php?me############################################
- fi###edge.net/forum/search.php?me############################################
- se###edge.net/forum/search.php?me############################################
- st###wedge.net/forum/search.php?me############################################
- we####sterday.net/forum/search.php?me############################################
- we###edge.net/forum/search.php?me############################################
- fo###feet.net/forum/search.php?me############################################
- af###feet.net/forum/search.php?me############################################
- ja###uter.com/forum/search.php?me############################################
- sp###aguga.com/forum/search.php?me############################################
- ga########all-talk-community.com/forum/search.php?me############################################
- do####club-grup.com/forum/search.php?me############################################
- go#####everytime.com/forum/search.php?me############################################
- el#####arimagine.com/forum/search.php?me############################################
- af###each.net/forum/search.php?me############################################
- se###ach.net/forum/search.php?me############################################
- we####dayfeet.net/forum/search.php?me############################################
- we####dayeach.net/forum/search.php?me############################################
- we#####ayyesterday.net/forum/search.php?me############################################
- se####sterday.net/forum/search.php?me############################################
- se###eet.net/forum/search.php?me############################################
- af####esterday.net/forum/search.php?me############################################
- fo###each.net/forum/search.php?me############################################
- fo####esterday.net/forum/search.php?me############################################
- fo###wedge.net/forum/search.php?me############################################
- af###wedge.net/forum/search.php?me############################################
UDP:
- DNS ASK dr###wedge.net
- DNS ASK na####sterday.net
- DNS ASK dr####esterday.net
- DNS ASK qu###gray.net
- DNS ASK fi###gray.net
- DNS ASK na###edge.net
- DNS ASK dr###feet.net
- DNS ASK we####daywedge.net
- DNS ASK se###edge.net
- DNS ASK na###ach.net
- DNS ASK dr###each.net
- DNS ASK na###eet.net
- DNS ASK bo###pril.net
- DNS ASK ga###ray.net
- DNS ASK bo###ray.net
- DNS ASK ga###rmy.net
- DNS ASK bo###rmy.net
- DNS ASK ga###pril.net
- DNS ASK fi###army.net
- DNS ASK qu###april.net
- DNS ASK fi###april.net
- DNS ASK qu###edge.net
- DNS ASK fi###edge.net
- DNS ASK qu###army.net
- DNS ASK st###wedge.net
- DNS ASK we####sterday.net
- DNS ASK we###edge.net
- DNS ASK fo###feet.net
- DNS ASK af###feet.net
- DNS ASK ja###uter.com
- DNS ASK sp###aguga.com
- DNS ASK ga########all-talk-community.com
- DNS ASK do####club-grup.com
- DNS ASK go#####everytime.com
- DNS ASK el#####arimagine.com
- DNS ASK af###each.net
- DNS ASK se###ach.net
- DNS ASK we####dayfeet.net
- DNS ASK we####dayeach.net
- DNS ASK we#####ayyesterday.net
- DNS ASK se####sterday.net
- DNS ASK se###eet.net
- DNS ASK af####esterday.net
- DNS ASK fo###each.net
- DNS ASK fo####esterday.net
- DNS ASK fo###wedge.net
- DNS ASK af###wedge.net
- '23#.#55.255.250':1900
