Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Endpoint Networking IPsec Client' = 'C:\hntdvekjqparg\zqjbpcviy.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Peer Transaction VC Machine] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\hntdvekjqparg\cvvzomj.exe' "c:\hntdvekjqparg\zqjbpcviy.exe"
- 'C:\hntdvekjqparg\zqjbpcviy.exe'
- 'C:\hntdvekjqparg\pafmq3ah6ozevzwethz.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\hntdvekjqparg\zqjbpcviy.exe
- C:\hntdvekjqparg\cvvzomj.exe
- C:\hntdvekjqparg\pafmq3ah6ozevzwethz.exe
- %WINDIR%\hntdvekjqparg\hov8ycfb
- C:\hntdvekjqparg\hov8ycfb
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\hntdvekjqparg\cvvzomj.exe
- C:\hntdvekjqparg\zqjbpcviy.exe
Удаляет следующие файлы:
- C:\hntdvekjqparg\pafmq3ah6ozevzwethz.exe
- %WINDIR%\hntdvekjqparg\hov8ycfb
Сетевая активность:
Подключается к:
- 'pr####egovern.net':80
- 'pr####enature.net':80
TCP:
Запросы HTTP GET:
- http://pr####egovern.net/index.php
- http://pr####enature.net/index.php
UDP:
- DNS ASK de####enough.net
- DNS ASK pr####eenough.net
- DNS ASK de####govern.net
- DNS ASK pr####egovern.net
- DNS ASK de####nature.net
- DNS ASK pr####enature.net
- DNS ASK de####needle.net
- DNS ASK pr####eneedle.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
