Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'PC WebClient Topology Plug Web' = 'C:\lkumtusipmhb\tymwgxjqgec.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Health Time Interactive Logon Server] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\lkumtusipmhb\vjvhzptem.exe' "c:\lkumtusipmhb\tymwgxjqgec.exe"
- 'C:\lkumtusipmhb\tymwgxjqgec.exe'
- 'C:\lkumtusipmhb\ly83iqihghbqbsw.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\lkumtusipmhb\tymwgxjqgec.exe
- C:\lkumtusipmhb\vjvhzptem.exe
- C:\lkumtusipmhb\kdu02isi2ety
- %WINDIR%\lkumtusipmhb\ddpd2r2erzo
- C:\lkumtusipmhb\ddpd2r2erzo
- C:\lkumtusipmhb\ly83iqihghbqbsw.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\lkumtusipmhb\vjvhzptem.exe
- C:\lkumtusipmhb\tymwgxjqgec.exe
Удаляет следующие файлы:
- C:\lkumtusipmhb\ly83iqihghbqbsw.exe
- %WINDIR%\lkumtusipmhb\ddpd2r2erzo
Сетевая активность:
Подключается к:
- 'he####osition.net':80
- 'ge####number.net':80
- 'ge####position.net':80
- 'ge####strike.net':80
- 'he###strike.net':80
- 'he####strike.net':80
- 'le####strike.net':80
- 'le####partial.net':80
- 'he###number.net':80
- 'he####partial.net':80
- 'ge####partial.net':80
- 'va####spartial.net':80
- 're####strike.net':80
- 're####partial.net':80
- 'fo####dattempt.net':80
- 'de####attempt.net':80
- 're####number.net':80
- 'va####snumber.net':80
- 'va####sposition.net':80
- 'va####sstrike.net':80
- 're####position.net':80
- 'he####position.net':80
- 'pl####ntstrike.net':80
- 'ne#####ryposition.net':80
- 'ne####arystrike.net':80
- 'ne#####rypartial.net':80
- 'pl####ntpartial.net':80
- 'he####artial.net':80
- 'di#####ltpartial.net':80
- 'pl####ntnumber.net':80
- 'pl#####tposition.net':80
- 'ne####arynumber.net':80
- 'or###number.net':80
- 're####epartial.net':80
- 'or####artial.net':80
- 'le####number.net':80
- 'le####position.net':80
- 'he####number.net':80
- 'or####osition.net':80
- 're####enumber.net':80
- 're####eposition.net':80
- 're####estrike.net':80
- 'or###strike.net':80
TCP:
Запросы HTTP GET:
- http://he####osition.net/index.php?me########
- http://ge####number.net/index.php?me########
- http://ge####position.net/index.php?me########
- http://ge####strike.net/index.php?me########
- http://he###strike.net/index.php?me########
- http://he####strike.net/index.php?me########
- http://le####strike.net/index.php?me########
- http://le####partial.net/index.php?me########
- http://he###number.net/index.php?me########
- http://he####partial.net/index.php?me########
- http://ge####partial.net/index.php?me########
- http://va####spartial.net/index.php?me########
- http://re####strike.net/index.php?me########
- http://re####partial.net/index.php?me########
- http://fo####dattempt.net/index.php?me########
- http://de####attempt.net/index.php?me########
- http://re####number.net/index.php?me########
- http://va####snumber.net/index.php?me########
- http://va####sposition.net/index.php?me########
- http://va####sstrike.net/index.php?me########
- http://re####position.net/index.php?me########
- http://he####position.net/index.php?me########
- http://pl####ntstrike.net/index.php?me########
- http://ne#####ryposition.net/index.php?me########
- http://ne####arystrike.net/index.php?me########
- http://ne#####rypartial.net/index.php?me########
- http://pl####ntpartial.net/index.php?me########
- http://he####artial.net/index.php?me########
- http://di#####ltpartial.net/index.php?me########
- http://pl####ntnumber.net/index.php?me########
- http://pl#####tposition.net/index.php?me########
- http://ne####arynumber.net/index.php?me########
- http://or###number.net/index.php?me########
- http://re####epartial.net/index.php?me########
- http://or####artial.net/index.php?me########
- http://le####number.net/index.php?me########
- http://le####position.net/index.php?me########
- http://he####number.net/index.php?me########
- http://or####osition.net/index.php?me########
- http://re####enumber.net/index.php?me########
- http://re####eposition.net/index.php?me########
- http://re####estrike.net/index.php?me########
- http://or###strike.net/index.php?me########
UDP:
- DNS ASK ge####position.net
- DNS ASK he####osition.net
- DNS ASK he###strike.net
- DNS ASK ge####partial.net
- DNS ASK ge####strike.net
- DNS ASK ge####number.net
- DNS ASK he####strike.net
- DNS ASK le####strike.net
- DNS ASK le####partial.net
- DNS ASK he###number.net
- DNS ASK he####partial.net
- DNS ASK re####partial.net
- DNS ASK va####spartial.net
- DNS ASK de####attempt.net
- DNS ASK de####square.net
- DNS ASK fo####dattempt.net
- DNS ASK re####strike.net
- DNS ASK re####number.net
- DNS ASK va####snumber.net
- DNS ASK va####sposition.net
- DNS ASK va####sstrike.net
- DNS ASK re####position.net
- DNS ASK ne####arystrike.net
- DNS ASK pl####ntstrike.net
- DNS ASK pl####ntpartial.net
- DNS ASK or###number.net
- DNS ASK ne#####rypartial.net
- DNS ASK ne#####ryposition.net
- DNS ASK he####artial.net
- DNS ASK di#####ltpartial.net
- DNS ASK pl####ntnumber.net
- DNS ASK pl#####tposition.net
- DNS ASK ne####arynumber.net
- DNS ASK le####number.net
- DNS ASK re####epartial.net
- DNS ASK he####number.net
- DNS ASK he####position.net
- DNS ASK le####position.net
- DNS ASK or####artial.net
- DNS ASK or####osition.net
- DNS ASK re####enumber.net
- DNS ASK re####eposition.net
- DNS ASK re####estrike.net
- DNS ASK or###strike.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
