Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Scheduler Endpoint Print VC Peer Remote' = 'C:\nswoz4fv8ertu\wqzceihqpijzf.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Driver Block Solutions] 'ImagePath' = 'C:\nswoz4fv8ertu\wqzceihqpijzf.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Driver Block Solutions] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\nswoz4fv8ertu\i5vldlq6vyxz.exe' "c:\nswoz4fv8ertu\wqzceihqpijzf.exe"
- 'C:\nswoz4fv8ertu\wqzceihqpijzf.exe'
- 'C:\nswoz4fv8ertu\lcztxc2v9gbhrjqjahupy3.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\nswoz4fv8ertu\wqzceihqpijzf.exe
- C:\nswoz4fv8ertu\i5vldlq6vyxz.exe
- C:\nswoz4fv8ertu\oho7xhiay
- %WINDIR%\nswoz4fv8ertu\ktkn8dsgar5q
- C:\nswoz4fv8ertu\ktkn8dsgar5q
- C:\nswoz4fv8ertu\lcztxc2v9gbhrjqjahupy3.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\nswoz4fv8ertu\i5vldlq6vyxz.exe
- C:\nswoz4fv8ertu\wqzceihqpijzf.exe
Удаляет следующие файлы:
- C:\nswoz4fv8ertu\lcztxc2v9gbhrjqjahupy3.exe
- %WINDIR%\nswoz4fv8ertu\ktkn8dsgar5q
Подменяет следующие файлы:
- %WINDIR%\nswoz4fv8ertu\ktkn8dsgar5q
Сетевая активность:
Подключается к:
- 'ka#####necaileigh.net':80
- 'ch#####analfredson.net':80
- 'ka#####necallista.net':80
- 'al#####ercaileigh.net':80
- 'gw#####realfredson.net':80
- 'ch#####anthrussell.net':80
- 'gw#####rethrussell.net':80
- 'ch#####anandrewson.net':80
- 'gw#####reandrewson.net':80
- 'al#####racaileigh.net':80
- 'ma#####nacaileigh.net':80
- 'al#####racallista.net':80
- 'ma#####nacallista.net':80
- 'al#####ercamellia.net':80
- 'ka#####nemarianne.net':80
- 'al#####ercallista.net':80
- 'ka#####necamellia.net':80
- 'al#####ermarianne.net':80
- 'ge#####naalfredson.net':80
- 'ch#####leandrewson.net':80
- 'an#####leainsworth.net':80
- 'ch#####lealfredson.net':80
- 'ge#####naandrewson.net':80
- 'ge#####naainsworth.net':80
- 'za#####ahalfredson.net':80
- 'ch#####lethrussell.net':80
- 'ge#####nathrussell.net':80
- 'gu#####enalfredson.net':80
- 'an#####lealfredson.net':80
- 'ch#####anainsworth.net':80
- 'gw#####reainsworth.net':80
- 'gu#####enandrewson.net':80
- 'an#####lethrussell.net':80
- 'gu#####enainsworth.net':80
- 'an#####leandrewson.net':80
- 'gu#####enthrussell.net':80
TCP:
Запросы HTTP GET:
- http://ka#####necaileigh.net/index.php
- http://ch#####analfredson.net/index.php
- http://ka#####necallista.net/index.php
- http://al#####ercaileigh.net/index.php
- http://gw#####realfredson.net/index.php
- http://ch#####anthrussell.net/index.php
- http://gw#####rethrussell.net/index.php
- http://ch#####anandrewson.net/index.php
- http://gw#####reandrewson.net/index.php
- http://al#####racaileigh.net/index.php
- http://ma#####nacaileigh.net/index.php
- http://al#####racallista.net/index.php
- http://ma#####nacallista.net/index.php
- http://al#####ercamellia.net/index.php
- http://ka#####nemarianne.net/index.php
- http://al#####ercallista.net/index.php
- http://ka#####necamellia.net/index.php
- http://al#####ermarianne.net/index.php
- http://ge#####naalfredson.net/index.php
- http://ch#####leandrewson.net/index.php
- http://an#####leainsworth.net/index.php
- http://ch#####lealfredson.net/index.php
- http://ge#####naandrewson.net/index.php
- http://ge#####naainsworth.net/index.php
- http://za#####ahalfredson.net/index.php
- http://ch#####lethrussell.net/index.php
- http://ge#####nathrussell.net/index.php
- http://gu#####enalfredson.net/index.php
- http://an#####lealfredson.net/index.php
- http://ch#####anainsworth.net/index.php
- http://gw#####reainsworth.net/index.php
- http://gu#####enandrewson.net/index.php
- http://an#####lethrussell.net/index.php
- http://gu#####enainsworth.net/index.php
- http://an#####leandrewson.net/index.php
- http://gu#####enthrussell.net/index.php
UDP:
- DNS ASK ka#####necaileigh.net
- DNS ASK ch#####analfredson.net
- DNS ASK ka#####necallista.net
- DNS ASK al#####ercaileigh.net
- DNS ASK gw#####realfredson.net
- DNS ASK ch#####anthrussell.net
- DNS ASK gw#####rethrussell.net
- DNS ASK ch#####anandrewson.net
- DNS ASK gw#####reandrewson.net
- DNS ASK al#####ercallista.net
- DNS ASK ma#####nacallista.net
- DNS ASK al#####racaileigh.net
- DNS ASK ma#####namarianne.net
- DNS ASK al#####racallista.net
- DNS ASK ma#####nacaileigh.net
- DNS ASK al#####ermarianne.net
- DNS ASK ka#####nemarianne.net
- DNS ASK al#####ercamellia.net
- DNS ASK ka#####necamellia.net
- DNS ASK ch#####leandrewson.net
- DNS ASK ge#####naandrewson.net
- DNS ASK ch#####lealfredson.net
- DNS ASK ge#####naalfredson.net
- DNS ASK ch#####lethrussell.net
- DNS ASK ge#####naainsworth.net
- DNS ASK za#####ahalfredson.net
- DNS ASK ge#####nathrussell.net
- DNS ASK ch#####leainsworth.net
- DNS ASK an#####leainsworth.net
- DNS ASK gu#####enalfredson.net
- DNS ASK an#####lealfredson.net
- DNS ASK ch#####anainsworth.net
- DNS ASK gw#####reainsworth.net
- DNS ASK gu#####enandrewson.net
- DNS ASK an#####lethrussell.net
- DNS ASK gu#####enainsworth.net
- DNS ASK an#####leandrewson.net
- DNS ASK gu#####enthrussell.net
