Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Smart Backup Hardware IP Alerts' = 'C:\auivrjpmao\nvjjzzhcd.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Foundation Machine Installer] 'ImagePath' = 'C:\auivrjpmao\nvjjzzhcd.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Foundation Machine Installer] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\auivrjpmao\agkdb7d.exe' "c:\auivrjpmao\nvjjzzhcd.exe"
- 'C:\auivrjpmao\nvjjzzhcd.exe'
- 'C:\auivrjpmao\tspe5mq3y56jtdlpyftfpjj.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\auivrjpmao\agkdb7d.exe
- C:\auivrjpmao\falvptzt
- C:\Documents and Settings\LocalService\Local Settings\Application Data\auivrjpmao\dcufdfy66jcv
- C:\auivrjpmao\nvjjzzhcd.exe
- %WINDIR%\auivrjpmao\dcufdfy66jcv
- C:\auivrjpmao\dcufdfy66jcv
- C:\auivrjpmao\tspe5mq3y56jtdlpyftfpjj.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\auivrjpmao\agkdb7d.exe
- C:\auivrjpmao\nvjjzzhcd.exe
Удаляет следующие файлы:
- C:\auivrjpmao\tspe5mq3y56jtdlpyftfpjj.exe
- %WINDIR%\auivrjpmao\dcufdfy66jcv
Подменяет следующие файлы:
- %WINDIR%\auivrjpmao\dcufdfy66jcv
Сетевая активность:
Подключается к:
- 'tr######npaternoster.net':80
- 'se######rpaternoster.net':80
- 'tr#####anautenberry.net':80
- 'se#####ermichaelson.net':80
- 'tr######nchristianson.net':80
- 'se######rchristianson.net':80
- 'tr#####anmichaelson.net':80
- 'se#####erautenberry.net':80
- 'co######rpaternoster.net':80
- 'ra######epaternoster.net':80
- 'co#####erautenberry.net':80
- 'ra#####lemichaelson.net':80
- 'co######rchristianson.net':80
- 'ra######echristianson.net':80
- 'co#####ermichaelson.net':80
- 'qu#####lacalanthia.net':80
- 'ma#####nemarigold.net':80
- 'qu#####lamarigold.net':80
- 'ma#####necalanthia.net':80
- 'qu#####lanathaniel.net':80
- 'ma#####nemadeline.net':80
- 'qu#####lamadeline.net':80
- 'jo######echristianson.net':80
- 'se######apaternoster.net':80
- 'jo#####neautenberry.net':80
- 'se#####naautenberry.net':80
- 'jo######epaternoster.net':80
- 'se######achristianson.net':80
- 'jo#####nemichaelson.net':80
- 'se#####namichaelson.net':80
TCP:
Запросы HTTP GET:
- http://tr######npaternoster.net/index.php
- http://se######rpaternoster.net/index.php
- http://tr#####anautenberry.net/index.php
- http://se#####ermichaelson.net/index.php
- http://tr######nchristianson.net/index.php
- http://se######rchristianson.net/index.php
- http://tr#####anmichaelson.net/index.php
- http://se#####erautenberry.net/index.php
- http://co######rpaternoster.net/index.php
- http://ra######epaternoster.net/index.php
- http://co#####erautenberry.net/index.php
- http://ra#####lemichaelson.net/index.php
- http://co######rchristianson.net/index.php
- http://ra######echristianson.net/index.php
- http://co#####ermichaelson.net/index.php
- http://qu#####lacalanthia.net/index.php
- http://ma#####nemarigold.net/index.php
- http://qu#####lamarigold.net/index.php
- http://ma#####necalanthia.net/index.php
- http://qu#####lanathaniel.net/index.php
- http://ma#####nemadeline.net/index.php
- http://qu#####lamadeline.net/index.php
- http://jo######echristianson.net/index.php
- http://se######apaternoster.net/index.php
- http://jo#####neautenberry.net/index.php
- http://se#####naautenberry.net/index.php
- http://jo######epaternoster.net/index.php
- http://se######achristianson.net/index.php
- http://jo#####nemichaelson.net/index.php
- http://se#####namichaelson.net/index.php
UDP:
- DNS ASK se######rpaternoster.net
- DNS ASK tr#####anautenberry.net
- DNS ASK se#####erautenberry.net
- DNS ASK tr######npaternoster.net
- DNS ASK se######rchristianson.net
- DNS ASK tr#####anmichaelson.net
- DNS ASK se#####ermichaelson.net
- DNS ASK co######rchristianson.net
- DNS ASK ra######epaternoster.net
- DNS ASK co#####erautenberry.net
- DNS ASK ra#####leautenberry.net
- DNS ASK co######rpaternoster.net
- DNS ASK ra######echristianson.net
- DNS ASK co#####ermichaelson.net
- DNS ASK ra#####lemichaelson.net
- DNS ASK tr######nchristianson.net
- DNS ASK qu#####lacalanthia.net
- DNS ASK ma#####nemarigold.net
- DNS ASK qu#####lamarigold.net
- DNS ASK ma#####necalanthia.net
- DNS ASK qu#####lanathaniel.net
- DNS ASK ma#####nemadeline.net
- DNS ASK qu#####lamadeline.net
- DNS ASK jo######echristianson.net
- DNS ASK se######apaternoster.net
- DNS ASK jo#####neautenberry.net
- DNS ASK se#####naautenberry.net
- DNS ASK jo######epaternoster.net
- DNS ASK se######achristianson.net
- DNS ASK jo#####nemichaelson.net
- DNS ASK se#####namichaelson.net
