Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Microsoft Counter Policy Office Receiver' = 'C:\ciaqficgaf10x\rnadgkgt.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Certificate Credential Shell Scheduler ActiveX] 'ImagePath' = 'C:\ciaqficgaf10x\rnadgkgt.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Certificate Credential Shell Scheduler ActiveX] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\ciaqficgaf10x\tydwpoebuum.exe' "c:\ciaqficgaf10x\rnadgkgt.exe"
- 'C:\ciaqficgaf10x\rnadgkgt.exe'
- 'C:\ciaqficgaf10x\w1b1sb2owpxixey5ywwyby.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\ciaqficgaf10x\rnadgkgt.exe
- C:\ciaqficgaf10x\tydwpoebuum.exe
- C:\ciaqficgaf10x\tbkyut1x0
- %WINDIR%\ciaqficgaf10x\yccn18l
- C:\ciaqficgaf10x\yccn18l
- C:\ciaqficgaf10x\w1b1sb2owpxixey5ywwyby.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\ciaqficgaf10x\tydwpoebuum.exe
- C:\ciaqficgaf10x\rnadgkgt.exe
Удаляет следующие файлы:
- C:\ciaqficgaf10x\w1b1sb2owpxixey5ywwyby.exe
- %WINDIR%\ciaqficgaf10x\yccn18l
Подменяет следующие файлы:
- %WINDIR%\ciaqficgaf10x\yccn18l
Сетевая активность:
Подключается к:
- 'ge#####veashleigh.net':80
- 'ze#####ahchauncey.net':80
- 'ma#####kechauncey.net':80
- 'je#####neashleigh.net':80
- 'ge#####vegretchen.net':80
- 'je#####necalanthe.net':80
- 'ge#####vecalanthe.net':80
- 'ze#####ahgretchen.net':80
- 'ma#####keashleigh.net':80
- 'kr#####herbotwright.net':80
- 'ca#####rabotwright.net':80
- 'ze#####ahashleigh.net':80
- 'ma#####kegretchen.net':80
- 'ze#####ahcalanthe.net':80
- 'ma#####kecalanthe.net':80
- 'je#####negretchen.net':80
- 'st#####ieashleigh.net':80
- 'ki#####ynchauncey.net':80
- 'gl#####lechauncey.net':80
- 'ch#####teashleigh.net':80
- 'st#####iechauncey.net':80
- 'ch#####tecalanthe.net':80
- 'st#####iecalanthe.net':80
- 'ki#####yngretchen.net':80
- 'gl#####leashleigh.net':80
- 'je#####nechauncey.net':80
- 'ge#####vechauncey.net':80
- 'ki#####ynashleigh.net':80
- 'gl#####legretchen.net':80
- 'ki#####yncalanthe.net':80
- 'gl#####lecalanthe.net':80
TCP:
Запросы HTTP GET:
- http://ge#####veashleigh.net/index.php
- http://ze#####ahchauncey.net/index.php
- http://ma#####kechauncey.net/index.php
- http://je#####neashleigh.net/index.php
- http://ge#####vegretchen.net/index.php
- http://je#####necalanthe.net/index.php
- http://ge#####vecalanthe.net/index.php
- http://ze#####ahgretchen.net/index.php
- http://ma#####keashleigh.net/index.php
- http://kr#####herbotwright.net/index.php
- http://ca#####rabotwright.net/index.php
- http://ze#####ahashleigh.net/index.php
- http://ma#####kegretchen.net/index.php
- http://ze#####ahcalanthe.net/index.php
- http://ma#####kecalanthe.net/index.php
- http://je#####negretchen.net/index.php
- http://st#####ieashleigh.net/index.php
- http://ki#####ynchauncey.net/index.php
- http://gl#####lechauncey.net/index.php
- http://ch#####teashleigh.net/index.php
- http://st#####iechauncey.net/index.php
- http://ch#####tecalanthe.net/index.php
- http://st#####iecalanthe.net/index.php
- http://ki#####yngretchen.net/index.php
- http://gl#####leashleigh.net/index.php
- http://je#####nechauncey.net/index.php
- http://ge#####vechauncey.net/index.php
- http://ki#####ynashleigh.net/index.php
- http://gl#####legretchen.net/index.php
- http://ki#####yncalanthe.net/index.php
- http://gl#####lecalanthe.net/index.php
UDP:
- DNS ASK ge#####veashleigh.net
- DNS ASK je#####neashleigh.net
- DNS ASK ma#####kechauncey.net
- DNS ASK ze#####ahchauncey.net
- DNS ASK ge#####vegretchen.net
- DNS ASK je#####negretchen.net
- DNS ASK ge#####vecalanthe.net
- DNS ASK je#####necalanthe.net
- DNS ASK ze#####ahgretchen.net
- DNS ASK kr#####herbotwright.net
- DNS ASK ma#####keashleigh.net
- DNS ASK kr#####herhuddleson.net
- DNS ASK ca#####rabotwright.net
- DNS ASK ze#####ahcalanthe.net
- DNS ASK ma#####kegretchen.net
- DNS ASK ze#####ahashleigh.net
- DNS ASK ma#####kecalanthe.net
- DNS ASK ch#####teashleigh.net
- DNS ASK st#####iecalanthe.net
- DNS ASK ki#####ynchauncey.net
- DNS ASK st#####ieashleigh.net
- DNS ASK ch#####tegretchen.net
- DNS ASK st#####iechauncey.net
- DNS ASK ch#####tecalanthe.net
- DNS ASK st#####iegretchen.net
- DNS ASK gl#####lechauncey.net
- DNS ASK gl#####leashleigh.net
- DNS ASK ki#####ynashleigh.net
- DNS ASK ge#####vechauncey.net
- DNS ASK je#####nechauncey.net
- DNS ASK gl#####legretchen.net
- DNS ASK ki#####yngretchen.net
- DNS ASK gl#####lecalanthe.net
- DNS ASK ki#####yncalanthe.net
