Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Ordering Tools Shadow Studio System Task' = 'C:\zirw13j\kgb1m4zynsh.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\WebClient Computer DCOM Microsoft] 'ImagePath' = 'C:\zirw13j\kgb1m4zynsh.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\WebClient Computer DCOM Microsoft] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\zirw13j\znfbehxc.exe' "c:\zirw13j\kgb1m4zynsh.exe"
- 'C:\zirw13j\kgb1m4zynsh.exe'
- 'C:\zirw13j\u4bhga0l3d5zdclwufxny.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\zirw13j\kgb1m4zynsh.exe
- C:\zirw13j\znfbehxc.exe
- C:\zirw13j\ru4gl3
- %WINDIR%\zirw13j\icf4vsdkce
- C:\zirw13j\icf4vsdkce
- C:\zirw13j\u4bhga0l3d5zdclwufxny.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\zirw13j\znfbehxc.exe
- C:\zirw13j\kgb1m4zynsh.exe
Удаляет следующие файлы:
- C:\zirw13j\u4bhga0l3d5zdclwufxny.exe
- %WINDIR%\zirw13j\icf4vsdkce
Подменяет следующие файлы:
- %WINDIR%\zirw13j\icf4vsdkce
Сетевая активность:
Подключается к:
- 'me#####hereccleston.net':80
- 'ca#####nepickering.net':80
- 'me#####hergeorgeson.net':80
- 'ca#####neeccleston.net':80
- 'me#####herpickering.net':80
- 'st#####iawhitaker.net':80
- 'si#####tewhitaker.net':80
- 'st#####iasunshine.net':80
- 'si#####tesunshine.net':80
- 'jo#####neeccleston.net':80
- 'ma#####ineeccleston.net':80
- 'jo#####negeorgeson.net':80
- 'ma#####inegeorgeson.net':80
- 'jo#####nepickering.net':80
- 'me#####hergrenville.net':80
- 'ca#####negeorgeson.net':80
- 'ma#####inepickering.net':80
- 'ca#####negrenville.net':80
- 'st#####iagriselda.net':80
- 'ki#####eysunshine.net':80
- 'je#####tesunshine.net':80
- 'gr#####lecatherin.net':80
- 'ma#####necatherin.net':80
- 'ki#####eywhitaker.net':80
- 'je#####tegriselda.net':80
- 'ki#####eycatherin.net':80
- 'je#####tewhitaker.net':80
- 'ki#####eygriselda.net':80
- 'si#####tecatherin.net':80
- 'gr#####lesunshine.net':80
- 'si#####tegriselda.net':80
- 'st#####iacatherin.net':80
- 'ma#####nesunshine.net':80
- 'gr#####legriselda.net':80
- 'ma#####negriselda.net':80
- 'gr#####lewhitaker.net':80
- 'ma#####newhitaker.net':80
TCP:
Запросы HTTP GET:
- http://me#####hereccleston.net/index.php
- http://ca#####nepickering.net/index.php
- http://me#####hergeorgeson.net/index.php
- http://ca#####neeccleston.net/index.php
- http://me#####herpickering.net/index.php
- http://st#####iawhitaker.net/index.php
- http://si#####tewhitaker.net/index.php
- http://st#####iasunshine.net/index.php
- http://si#####tesunshine.net/index.php
- http://jo#####neeccleston.net/index.php
- http://ma#####ineeccleston.net/index.php
- http://jo#####negeorgeson.net/index.php
- http://ma#####inegeorgeson.net/index.php
- http://jo#####nepickering.net/index.php
- http://me#####hergrenville.net/index.php
- http://ca#####negeorgeson.net/index.php
- http://ma#####inepickering.net/index.php
- http://ca#####negrenville.net/index.php
- http://st#####iagriselda.net/index.php
- http://ki#####eysunshine.net/index.php
- http://je#####tesunshine.net/index.php
- http://gr#####lecatherin.net/index.php
- http://ma#####necatherin.net/index.php
- http://ki#####eywhitaker.net/index.php
- http://je#####tegriselda.net/index.php
- http://ki#####eycatherin.net/index.php
- http://je#####tewhitaker.net/index.php
- http://ki#####eygriselda.net/index.php
- http://si#####tecatherin.net/index.php
- http://gr#####lesunshine.net/index.php
- http://si#####tegriselda.net/index.php
- http://st#####iacatherin.net/index.php
- http://ma#####nesunshine.net/index.php
- http://gr#####legriselda.net/index.php
- http://ma#####negriselda.net/index.php
- http://gr#####lewhitaker.net/index.php
- http://ma#####newhitaker.net/index.php
UDP:
- DNS ASK me#####hereccleston.net
- DNS ASK ca#####nepickering.net
- DNS ASK me#####hergeorgeson.net
- DNS ASK ca#####neeccleston.net
- DNS ASK me#####herpickering.net
- DNS ASK st#####iawhitaker.net
- DNS ASK si#####tewhitaker.net
- DNS ASK st#####iasunshine.net
- DNS ASK si#####tesunshine.net
- DNS ASK ca#####negeorgeson.net
- DNS ASK ma#####inegeorgeson.net
- DNS ASK jo#####neeccleston.net
- DNS ASK ma#####inegrenville.net
- DNS ASK jo#####negeorgeson.net
- DNS ASK ma#####ineeccleston.net
- DNS ASK ca#####negrenville.net
- DNS ASK me#####hergrenville.net
- DNS ASK jo#####nepickering.net
- DNS ASK ma#####inepickering.net
- DNS ASK ki#####eysunshine.net
- DNS ASK je#####tesunshine.net
- DNS ASK gr#####lecatherin.net
- DNS ASK ma#####necatherin.net
- DNS ASK ki#####eywhitaker.net
- DNS ASK je#####tegriselda.net
- DNS ASK ki#####eycatherin.net
- DNS ASK je#####tewhitaker.net
- DNS ASK ki#####eygriselda.net
- DNS ASK ma#####negriselda.net
- DNS ASK st#####iacatherin.net
- DNS ASK si#####tecatherin.net
- DNS ASK st#####iagriselda.net
- DNS ASK si#####tegriselda.net
- DNS ASK gr#####lesunshine.net
- DNS ASK ma#####newhitaker.net
- DNS ASK gr#####legriselda.net
- DNS ASK ma#####nesunshine.net
- DNS ASK gr#####lewhitaker.net
