Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WMI Secondary PNRP Keying Config Level' = 'C:\hfztpqnzil7rl\nguavubzeeia.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Extender Interactive Portable Information Profile] 'ImagePath' = 'C:\hfztpqnzil7rl\nguavubzeeia.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Extender Interactive Portable Information Profile] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\hfztpqnzil7rl\weldonls.exe' "c:\hfztpqnzil7rl\nguavubzeeia.exe"
- 'C:\hfztpqnzil7rl\nguavubzeeia.exe'
- 'C:\hfztpqnzil7rl\ywm1ce38o3wrvcxwi8vx.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\hfztpqnzil7rl\nguavubzeeia.exe
- C:\hfztpqnzil7rl\weldonls.exe
- C:\hfztpqnzil7rl\scnr0i
- %WINDIR%\hfztpqnzil7rl\adb9i9bt
- C:\hfztpqnzil7rl\adb9i9bt
- C:\hfztpqnzil7rl\ywm1ce38o3wrvcxwi8vx.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\hfztpqnzil7rl\weldonls.exe
- C:\hfztpqnzil7rl\nguavubzeeia.exe
Удаляет следующие файлы:
- C:\hfztpqnzil7rl\ywm1ce38o3wrvcxwi8vx.exe
- %WINDIR%\hfztpqnzil7rl\adb9i9bt
Подменяет следующие файлы:
- %WINDIR%\hfztpqnzil7rl\adb9i9bt
Сетевая активность:
Подключается к:
- 'qu#####laderrickson.net':80
- 'ma#####nederrickson.net':80
- 'jo#####nemirabelle.net':80
- 'jo#####nemadelina.net':80
- 'se#####namirabelle.net':80
- 'ma#####neherbertson.net':80
- 'qu#####lawilliamson.net':80
- 'qu#####laherbertson.net':80
- 'qu#####lawhittemore.net':80
- 'ma#####newhittemore.net':80
- 'se#####ermirabelle.net':80
- 'tr#####anmirabelle.net':80
- 'tr#####anmadelina.net':80
- 'tr#####anesmaralda.net':80
- 'se#####ermadelina.net':80
- 'jo#####neesmaralda.net':80
- 'se#####namadelina.net':80
- 'se#####naesmaralda.net':80
- 'se#####naamethyst.net':80
- 'jo#####neamethyst.net':80
- 'co#####neherbertson.net':80
- 'ka#####neherbertson.net':80
- 'ka#####newhittemore.net':80
- 'ka#####nederrickson.net':80
- 'co#####newhittemore.net':80
- 'ch#####asderrickson.net':80
- 'sh#####newhittemore.net':80
- 'sh#####nederrickson.net':80
- 'co#####newilliamson.net':80
- 'ka#####newilliamson.net':80
- 'ra#####fewhittemore.net':80
- 'ro#####ltwhittemore.net':80
- 'ro#####ltderrickson.net':80
- 'ma#####newilliamson.net':80
- 'ra#####federrickson.net':80
- 'ro#####ltwilliamson.net':80
- 'co#####nederrickson.net':80
- 'ra#####fewilliamson.net':80
- 'ra#####feherbertson.net':80
- 'ro#####ltherbertson.net':80
TCP:
Запросы HTTP GET:
- http://qu#####laderrickson.net/index.php
- http://ma#####nederrickson.net/index.php
- http://jo#####nemirabelle.net/index.php
- http://jo#####nemadelina.net/index.php
- http://se#####namirabelle.net/index.php
- http://ma#####neherbertson.net/index.php
- http://qu#####lawilliamson.net/index.php
- http://qu#####laherbertson.net/index.php
- http://qu#####lawhittemore.net/index.php
- http://ma#####newhittemore.net/index.php
- http://se#####ermirabelle.net/index.php
- http://tr#####anmirabelle.net/index.php
- http://tr#####anmadelina.net/index.php
- http://tr#####anesmaralda.net/index.php
- http://se#####ermadelina.net/index.php
- http://jo#####neesmaralda.net/index.php
- http://se#####namadelina.net/index.php
- http://se#####naesmaralda.net/index.php
- http://se#####naamethyst.net/index.php
- http://jo#####neamethyst.net/index.php
- http://co#####neherbertson.net/index.php
- http://ka#####neherbertson.net/index.php
- http://ka#####newhittemore.net/index.php
- http://ka#####nederrickson.net/index.php
- http://co#####newhittemore.net/index.php
- http://ch#####asderrickson.net/index.php
- http://sh#####newhittemore.net/index.php
- http://sh#####nederrickson.net/index.php
- http://co#####newilliamson.net/index.php
- http://ka#####newilliamson.net/index.php
- http://ra#####fewhittemore.net/index.php
- http://ro#####ltwhittemore.net/index.php
- http://ro#####ltderrickson.net/index.php
- http://ma#####newilliamson.net/index.php
- http://ra#####federrickson.net/index.php
- http://ro#####ltwilliamson.net/index.php
- http://co#####nederrickson.net/index.php
- http://ra#####fewilliamson.net/index.php
- http://ra#####feherbertson.net/index.php
- http://ro#####ltherbertson.net/index.php
UDP:
- DNS ASK qu#####laderrickson.net
- DNS ASK ma#####nederrickson.net
- DNS ASK jo#####nemirabelle.net
- DNS ASK jo#####nemadelina.net
- DNS ASK se#####namirabelle.net
- DNS ASK ma#####neherbertson.net
- DNS ASK qu#####lawilliamson.net
- DNS ASK qu#####laherbertson.net
- DNS ASK qu#####lawhittemore.net
- DNS ASK ma#####newhittemore.net
- DNS ASK se#####ermirabelle.net
- DNS ASK tr#####anmirabelle.net
- DNS ASK tr#####anmadelina.net
- DNS ASK tr#####anesmaralda.net
- DNS ASK se#####ermadelina.net
- DNS ASK jo#####neesmaralda.net
- DNS ASK se#####namadelina.net
- DNS ASK se#####naesmaralda.net
- DNS ASK se#####naamethyst.net
- DNS ASK jo#####neamethyst.net
- DNS ASK co#####neherbertson.net
- DNS ASK ka#####neherbertson.net
- DNS ASK ka#####newhittemore.net
- DNS ASK ka#####nederrickson.net
- DNS ASK co#####newhittemore.net
- DNS ASK ch#####asderrickson.net
- DNS ASK sh#####newhittemore.net
- DNS ASK sh#####nederrickson.net
- DNS ASK co#####newilliamson.net
- DNS ASK ka#####newilliamson.net
- DNS ASK ra#####fewhittemore.net
- DNS ASK ro#####ltwhittemore.net
- DNS ASK ro#####ltderrickson.net
- DNS ASK ma#####newilliamson.net
- DNS ASK ra#####federrickson.net
- DNS ASK ro#####ltwilliamson.net
- DNS ASK co#####nederrickson.net
- DNS ASK ra#####fewilliamson.net
- DNS ASK ra#####feherbertson.net
- DNS ASK ro#####ltherbertson.net
