Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение:
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ec525f4.exe
- C:\ec525f4\ec525f4.exe
Сетевая активность:
Подключается к:
- 'bu###true.com':80
- 'co####atemonks.com':80
- 'ps##c.net':80
- 'hs###pany.net':80
- 'bi#####echnologies.com':80
- 'ho####fstarz.com':80
- 'tr##lyo.com':80
- 're######improvementsllc.com':80
- 'mh###ngbinh.com':80
- 'be###eysco.com':80
- 'ha###alab.com':80
- 'st###heck.info':80
- 'gl####rdening.com':80
- 'we##ex.com':80
- 'ca#####studio935.com':80
- 'gi##tuk.com':80
- 'ne#####and-charm.com':80
- 'et####esigns.com':80
- 'ip##ddr.es':80
- 'my####rnalip.com':80
- 'cu###yip.com':80
- 'sm##iks.com':80
- '10##set.com':80
- 'br###being.com':80
- 'ea###gypt.com':80
- 'pa####acharters.com':80
- 'ca###book.net':80
- 'ge###you.com':80
TCP:
Запросы HTTP GET:
- http://cu###yip.com/
- http://my####rnalip.com/raw
- http://ip##ddr.es/
Запросы HTTP POST:
- http://co####atemonks.com/img5.php?r=###########
- http://ps##c.net/img3.php?h=###########
- http://st###heck.info/img2.php?r=###########
- http://tr##lyo.com/img2.php?h=###########
- http://hs###pany.net/img1.php?o=###########
- http://bu###true.com/img5.php?v=###########
- http://re######improvementsllc.com/img4.php?s=###########
- http://mh###ngbinh.com/Class/_notes/img4.php?m=###########
- http://be###eysco.com/img5.php?c=###########
- http://gl####rdening.com/img3.php?u=###########
- http://we##ex.com/img4.php?i=###########
- http://ha###alab.com/img5.php?o=###########
- http://ho####fstarz.com/img3.php?i=###########
- http://ne#####and-charm.com/img3.php?y=###########
- http://pa####acharters.com/img1.php?z=###########
- http://ca###book.net/img1.php?l=###########
- http://et####esigns.com/img4.php?s=###########
- http://ca#####studio935.com/img1.php?x=###########
- http://gi##tuk.com/img5.php?b=###########
- http://10##set.com/img3.php?y=###########
- http://br###being.com/img3.php?l=###########
- http://bi#####echnologies.com/img2.php?x=###########
- http://ge###you.com/img2.php?m=###########
- http://ea###gypt.com/img4.php?q=###########
- http://sm##iks.com/img3.php?a=###########
UDP:
- DNS ASK bu###true.com
- DNS ASK co####atemonks.com
- DNS ASK ps##c.net
- DNS ASK hs###pany.net
- DNS ASK bi#####echnologies.com
- DNS ASK ho####fstarz.com
- DNS ASK tr##lyo.com
- DNS ASK re######improvementsllc.com
- DNS ASK mh###ngbinh.com
- DNS ASK be###eysco.com
- DNS ASK ha###alab.com
- DNS ASK st###heck.info
- DNS ASK gl####rdening.com
- DNS ASK we##ex.com
- DNS ASK ca#####studio935.com
- DNS ASK gi##tuk.com
- DNS ASK ne#####and-charm.com
- DNS ASK et####esigns.com
- DNS ASK ip##ddr.es
- DNS ASK my####rnalip.com
- DNS ASK cu###yip.com
- DNS ASK sm##iks.com
- DNS ASK 10##set.com
- DNS ASK br###being.com
- DNS ASK ea###gypt.com
- DNS ASK pa####acharters.com
- DNS ASK ca###book.net
- DNS ASK ge###you.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
