Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{1D476073-5E7F-AD41-B897-60D4A63F43C6}' = '"%APPDATA%\Uqheb\fiivy.exe"'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\tmpa58b2393.bat"
- '%APPDATA%\Uqheb\fiivy.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cscript.exe
большое количество пользовательских процессов.
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\Windows Live Mail]
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Internet Account Manager]
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\krcqxcdtvkdizxfxwgatqgaqprij[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\ytmvnfojzthmnbmifxtxyfelz[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\ytofplhqbyjzcidieieybizug[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\ijttwonjbayddavwyddahmzprgz[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\uodkbeayhlvppvrsnzreyxsjznvir[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\zdhiwaerclrxsdgakrvoxknrwo[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\olnslbytyhrkwoeyeqkfbugyfm[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\kvnjxklzobvwmguzppdwxyd[1]
- %TEMP%\tmpa58b2393.bat
- <LS_APPDATA>\befii.ahy
- %APPDATA%\Uqheb\fiivy.exe
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\cumbtamqwdprgrkztcevcvkdulb[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\wogscqwddisgnjmxeyeb[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\hxkqolvdeqolthqhjvzxln[1]
- %HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\fysomnmvprtetqowogmwfutotg[1]
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ij#######ayddavwyddahmzprgz.org':80
- 'kr########dizxfxwgatqgaqprij.net':80
- 'yt#######thmnbmifxtxyfelz.biz':80
- 'ol#######hrkwoeyeqkfbugyfm.info':80
- 'dl########fxodeonzaecmzxociqs.com':80
- 'uo########vppvrsnzreyxsjznvir.ru':80
- 'zd#######lrxsdgakrvoxknrwo.com':80
- 'yt#######yjzcidieieybizug.ru':80
- 'cu#######dprgrkztcevcvkdulb.com':80
- 'www.bing.com':80
- '74.##5.232.51':80
- 'fy#######rtetqowogmwfutotg.biz':80
- 'kv######obvwmguzppdwxyd.com':80
- 'wo######disgnjmxeyeb.net':80
- 'hx######eqolthqhjvzxln.org':80
TCP:
Запросы HTTP GET:
- http://ij#######ayddavwyddahmzprgz.org/
- http://kr########dizxfxwgatqgaqprij.net/
- http://yt#######thmnbmifxtxyfelz.biz/
- http://ol#######hrkwoeyeqkfbugyfm.info/
- http://dl########fxodeonzaecmzxociqs.com/
- http://uo########vppvrsnzreyxsjznvir.ru/
- http://zd#######lrxsdgakrvoxknrwo.com/
- http://yt#######yjzcidieieybizug.ru/
- http://cu#######dprgrkztcevcvkdulb.com/
- http://www.bing.com/
- http://www.google.com/ via 74.##5.232.51
- http://fy#######rtetqowogmwfutotg.biz/
- http://kv######obvwmguzppdwxyd.com/
- http://wo######disgnjmxeyeb.net/
- http://hx######eqolthqhjvzxln.org/
UDP:
- DNS ASK yt#######yjzcidieieybizug.ru
- DNS ASK yt#######thmnbmifxtxyfelz.biz
- DNS ASK kv######obvwmguzppdwxyd.com
- DNS ASK dl########fxodeonzaecmzxociqs.com
- DNS ASK wo######disgnjmxeyeb.net
- DNS ASK zd#######lrxsdgakrvoxknrwo.com
- DNS ASK uo########vppvrsnzreyxsjznvir.ru
- DNS ASK ol#######hrkwoeyeqkfbugyfm.info
- DNS ASK kr########dizxfxwgatqgaqprij.net
- DNS ASK ij#######ayddavwyddahmzprgz.org
- DNS ASK www.google.com
- DNS ASK hx######eqolthqhjvzxln.org
- DNS ASK www.bing.com
- DNS ASK fy#######rtetqowogmwfutotg.biz
- DNS ASK cu#######dprgrkztcevcvkdulb.com
- '36.##.113.150':10961
- '41.##.155.86':28079
- '19#.#4.127.98':25549
- '67.##8.122.15':25374
- '85.##0.21.252':29803
- '68.##5.44.96':28486
