Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'd5ed22ab' = '%APPDATA%\d5ed22ab.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'd5ed22a' = 'C:\d5ed22ab\d5ed22ab.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\d5ed22ab.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение:
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\d5ed22ab.exe
- C:\d5ed22ab\d5ed22ab.exe
Сетевая активность:
Подключается к:
- 'fo###cegypt.com':80
- 'fa#####people.com.br':80
- 'ka####ahvesi.com':80
- 'ma##o.ru':80
- 'im##au24.de':80
- 'mo###neh.com':80
- 'gl###zona.com':80
- 'ga####nesexboys.com':80
- 'in###twest.net':80
- 'is####hcebakim.com':80
- 'is####chitects.com':80
- 'lo###rd-yug.ru':80
- 'ei###hai.net':80
- 'id##-lab.kz':80
- 'cu###yip.com':80
- 'ip##ddr.es':80
- 'my####rnalip.com':80
- 'gr###lysts.com':80
- 'ka###agiyim.com':80
- 'de###.##oridaglischemi.com':80
- 'ho####yspress.com':80
- 'ho####yle1974.com':80
- 'fi###uvenir.com':80
TCP:
Запросы HTTP GET:
- http://cu###yip.com/
- http://my####rnalip.com/raw
- http://ip##ddr.es/
Запросы HTTP POST:
- http://fa#####people.com.br/wp-content/themes/mazine/rrrrr.php?q=##############
- http://mo###neh.com/modules/mod_tower/rrrrr.php?w=##############
- http://fo###cegypt.com/blog/wp-content/themes/twentyfourteen/rrr.php?i=##############
- http://im##au24.de/templates/atomic/rr.php?a=##############
- http://ka####ahvesi.com/wp-content/uploads/rr.php?w=##############
- http://gl###zona.com/plugins/system/plg_system_rewrite/rr.php?y=##############
- http://ga####nesexboys.com/wp-content/uploads/rrrr.php?u=##############
- http://in###twest.net/wp-content/uploads/rrrrr.php?a=##############
- http://is####hcebakim.com/wp-content/uploads/rrrr.php?u=##############
- http://is####chitects.com/wp-content/uploads/rrrrr.php?t=##############
- http://ho####yle1974.com/wp-content/uploads/rrr.php?b=##############
- http://fi###uvenir.com/wp-content/uploads/r.php?k=##############
- http://gr###lysts.com/wp-content/uploads/rrr.php?h=##############
- http://ei###hai.net/wp-content/themes/twentytwelve/rr.php?f=##############
- http://id##-lab.kz/wp-content/uploads/rrr.php?u=##############
- http://lo###rd-yug.ru/wp-content/themes/estudio/rrrrr.php?t=##############
- http://ma##o.ru/wp-content/uploads/r.php?o=##############
- http://de###.##oridaglischemi.com/wp-content/themes/twentytwelve/r.php?t=##############
- http://ho####yspress.com/wp-content/uploads/rr.php?v=##############
- http://ka###agiyim.com/modules/mod_tower/r.php?s=##############
UDP:
- DNS ASK fo###cegypt.com
- DNS ASK fa#####people.com.br
- DNS ASK mo###neh.com
- DNS ASK ma##o.ru
- DNS ASK im##au24.de
- DNS ASK ka####ahvesi.com
- DNS ASK gl###zona.com
- DNS ASK ga####nesexboys.com
- DNS ASK go###ugoleka.pl
- DNS ASK is####hcebakim.com
- DNS ASK is####chitects.com
- DNS ASK in###twest.net
- DNS ASK ei###hai.net
- DNS ASK id##-lab.kz
- DNS ASK gr###lysts.com
- DNS ASK ip##ddr.es
- DNS ASK my####rnalip.com
- DNS ASK cu###yip.com
- DNS ASK ka###agiyim.com
- DNS ASK de###.##oridaglischemi.com
- DNS ASK lo###rd-yug.ru
- DNS ASK ho####yle1974.com
- DNS ASK fi###uvenir.com
- DNS ASK ho####yspress.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
