Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MhrHcrji' = '<LS_APPDATA>\ebaurodr\mhrhcrji.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,<LS_APPDATA>\ebaurodr\mhrhcrji.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\mhrhcrji.exe
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Micorsoft Windows Service] 'ImagePath' = '%TEMP%\tssofofu.sys'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\empchqloliakgweu.exe'
Запускает на исполнение:
- '%TEMP%\empchqloliakgweu.exe'
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
следующие пользовательские процессы:
- empchqloliakgweu.exe
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
- NtOpenKey, драйвер-обработчик: tssofofu.sys
- NtCreateKey, драйвер-обработчик: tssofofu.sys
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tssofofu.sys
- %WINDIR%\Temp\6decd52f
- %WINDIR%\Temp\7fffffb1
- %TEMP%\empchqloliakgweu.exe
- <LS_APPDATA>\niuydqre.log
- <LS_APPDATA>\ebaurodr\mhrhcrji.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\Start Menu\Programs\Startup\mhrhcrji.exe
Удаляет следующие файлы:
- %TEMP%\tssofofu.sys
Сетевая активность:
Подключается к:
- 'ww####oqwcodyhg.com':443
- 'ka#####ogsgfcuhqbu.com':443
- 'dh#####lkkfjvchbos.com':443
- 'gs#####jtfhhynbqep.com':443
- 'oo####ayvbmwj.com':443
- 'ck####ltviespq.com':443
- 'mb#####qkbfmhhsbh.com':443
- '74.##5.232.51':80
- 'ry#####fgeouuwkgmys.com':443
- 'wk###spswbf.com':443
- 'hc####rivnuq.com':443
UDP:
- DNS ASK da####ajbaruitl.com
- DNS ASK px###cdw.com
- DNS ASK ky####hcggxeci.com
- DNS ASK sj#####kqqpnglnxeuy.com
- DNS ASK hu###isdcb.com
- DNS ASK yn####gabbuih.com
- DNS ASK ii####icoaoeq.com
- DNS ASK hv####sgosll.com
- DNS ASK rt###reg.com
- DNS ASK sm#####ybkqxgggxi.com
- DNS ASK ap###chhvd.com
- DNS ASK pn#####iemjvbdif.com
- DNS ASK qi####rikjxm.com
- DNS ASK ac###dbfibi.com
- DNS ASK df####ojxqdvpok.com
- DNS ASK ox###txusq.com
- DNS ASK mo#####ljwkystfr.com
- DNS ASK vh#####jvkrrpaoreh.com
- DNS ASK jv#####ufntnnxclbpv.com
- DNS ASK ox###hkvjf.com
- DNS ASK yw###mld.com
- DNS ASK pj#####ocueeaptsl.com
- DNS ASK jd###fuf.com
- DNS ASK bing.com
- DNS ASK om#####yapdirqvquph.com
- DNS ASK so#####gabyqofac.com
- DNS ASK yn#####shgpdrvvi.com
- DNS ASK un#####jmnhnnghnw.com
- DNS ASK ba####ltopytrr.com
- DNS ASK bk####swfleuvcn.com
- DNS ASK vd#####vwepovavhcu.com
- DNS ASK pv####whjdsql.com
- DNS ASK gp####kgpysvrgi.com
- DNS ASK hp#####axleylunft.com
- DNS ASK uq#####agkhesefeje.com
- DNS ASK kl#####jacuujdmi.com
- DNS ASK nj###cnew.com
- DNS ASK ys####khthspimi.com
- DNS ASK wt####picsawwrg.com
- DNS ASK bg####ykkgyrswt.com
- DNS ASK lm#####rhrbkjpjm.com
- DNS ASK fk###tbip.com
- DNS ASK gs#####jtfhhynbqep.com
- DNS ASK ca#####gvacsmjvdeo.com
- DNS ASK gk###sfp.com
- DNS ASK pb#####ggeshensvai.com
- DNS ASK ye#####xusokritv.com
- DNS ASK xh####jyyixvkkv.com
- DNS ASK rx#####mfajodqpya.com
- DNS ASK oo####ayvbmwj.com
- DNS ASK ry#####fgeouuwkgmys.com
- DNS ASK hc####rivnuq.com
- DNS ASK google.com
- DNS ASK mb#####qkbfmhhsbh.com
- DNS ASK wk###spswbf.com
- DNS ASK ww####oqwcodyhg.com
- DNS ASK dh#####lkkfjvchbos.com
- DNS ASK ck####ltviespq.com
- DNS ASK ka#####ogsgfcuhqbu.com
- DNS ASK gc####dnytfex.com
- DNS ASK pa####ukffbagn.com
- DNS ASK cu###tnwlm.com
- DNS ASK ty####tygvteg.com
- DNS ASK wb####hqckinimw.com
- DNS ASK eb####satalkn.com
- DNS ASK mq#####ovyjmwqqbh.com
- DNS ASK uq#####csipiblph.com
- DNS ASK xd###ipkq.com
- DNS ASK on#####ydxikojfhfy.com
- DNS ASK kh#####tlstoevnry.com
- DNS ASK vm#####eixksivixx.com
- DNS ASK sk###rtjva.com
- DNS ASK py####csqeqnmvh.com
- DNS ASK ws####nckmmev.com
- DNS ASK dt####slyjatusl.com
- DNS ASK ke###lvv.com
- DNS ASK gd#####ibdnckcit.com
- DNS ASK ia###hrcy.com
- DNS ASK sg####kwdhkcju.com
