Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\samuelraj server bytecrypter.exe'
- '%TEMP%\Ultra Surf vs.10.15[Team DG].exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: '' WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS' WindowName: ''
- ClassName: '' WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass' WindowName: ''
- ClassName: '' WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'GBDYLLO' WindowName: ''
- ClassName: 'OLLYDBG' WindowName: ''
- ClassName: 'FilemonClass' WindowName: ''
- ClassName: 'pediy06' WindowName: ''
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = '127.0.0.1:9666'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '127.0.0.1'
- [<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1C00' = '{00,00,00,00}'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] 'CurrentLevel' = '{00,00,00,00}'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\utmp\~hogkoyjnsjr0q9s
- %TEMP%\utmp\~chmisotjsto0p1i
- %TEMP%\2EBAE.dmp
- %TEMP%\utmp\~jtaepsikmir1f7x
- %TEMP%\Ultra Surf vs.10.15[Team DG].exe
- %TEMP%\samuelraj server bytecrypter.exe
- %TEMP%\dw.log
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- '20#.#46.122.250':13
- '72.##.176.100':443
- 'go##le.de':80
- 'go##le.bg':80
- '12#.#30.9.203':443
- 'go###e.co.nz':80
- '12#.6.15.29':13
- '12#.#2.54.204':443
- '21#.#60.109.6':443
- '21#.#63.17.42':443
- '68.##6.79.113':13
- '66.##9.116.140':13
- '19#.60.73.8':13
- '24.##.178.140':13
- '69.#5.96.13':13
- '65.#9.14.86':443
- 'go##le.lk':80
- '65.#9.14.82':443
- '65.#9.14.11':443
- 'et####.#ortgagebanksite.com':443
- '13#.#63.4.101':13
- 'www.li##.net':443
- '20#.#6.175.36':13
- '64.##0.229.100':13
- '65.#9.14.51':443
- '65.#9.14.71':443
- '21#.#71.124.36':13
- '65.#9.14.60':443
- '13#.#63.4.102':13
- '11#.#05.72.156':443
- '64.##6.96.53':13
- '14#.#47.35.75':443
- '66.#5.71.42':443
- '12#.#38.188.172':13
- 'go##le.net':80
- 's3.###zonaws.com':443
- 'go###e.co.za':80
- 'go###ebot.com':80
TCP:
Запросы HTTP GET:
- go##le.bg/gwt/n?u=##############################################################################
- go##le.de/gwt/n?u=#########################################################################
- go##le.lk/gwt/n?u=########################################################################################
- go###e.co.nz/gwt/n?u=##########################################################################
- go##le.net/gwt/n?u=##################################################################################
- go###ebot.com/gwt/n?u=##########################################
- go###e.co.za/gwt/n?u=#############################################################################
UDP:
- DNS ASK rr##.####quzd.mqdaataxv.info
- DNS ASK go###e.co.nz
- DNS ASK go###e.co.za
- DNS ASK go##le.bg
- DNS ASK rr##.###rquzd.kitdd.info
- DNS ASK go##le.lk
- DNS ASK go##le.de
- DNS ASK www.li##.net
- DNS ASK og##.###rvvds.kitdd.info
- DNS ASK et####.#ortgagebanksite.com
- DNS ASK s3.###zonaws.com
- DNS ASK og##.###rvvds.yoouqxi.info
- DNS ASK go###ebot.com
- DNS ASK go##le.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '18467-41' WindowName: ''
