Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'IPsec Error Microsoft Problem' = 'C:\xgwdsrsi\qnitlm7b.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Provider SSDP Multimedia Experience] 'ImagePath' = 'C:\xgwdsrsi\qnitlm7b.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Provider SSDP Multimedia Experience] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\xgwdsrsi\lfingtasfyugg.exe' "c:\xgwdsrsi\qnitlm7b.exe"
- 'C:\xgwdsrsi\qnitlm7b.exe'
- 'C:\xgwdsrsi\nkvitogj2ktknbsllzkba.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\xgwdsrsi\qnitlm7b.exe
- C:\xgwdsrsi\lfingtasfyugg.exe
- C:\xgwdsrsi\djwqycoulk
- %WINDIR%\xgwdsrsi\mifzwstoz
- C:\xgwdsrsi\mifzwstoz
- C:\xgwdsrsi\nkvitogj2ktknbsllzkba.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\xgwdsrsi\lfingtasfyugg.exe
- C:\xgwdsrsi\qnitlm7b.exe
Удаляет следующие файлы:
- C:\xgwdsrsi\nkvitogj2ktknbsllzkba.exe
- %WINDIR%\xgwdsrsi\mifzwstoz
Подменяет следующие файлы:
- %WINDIR%\xgwdsrsi\mifzwstoz
Сетевая активность:
Подключается к:
- 'ki#####eecassarah.net':80
- 'ma#####iancassarah.net':80
- 'ma#####ianviviette.net':80
- 'ca#####naangelica.net':80
- 'ki#####eeviviette.net':80
- 'ma#####ianangelica.net':80
- 'ca#####raviviette.net':80
- 'ki#####eeangelica.net':80
- 'ki#####eeharrison.net':80
- 'ma#####ianharrison.net':80
- 'ca#####neangelica.net':80
- 'an#####teangelica.net':80
- 'ca#####neviviette.net':80
- 'ma#####neangelica.net':80
- 'ma#####neharrison.net':80
- 'an#####teharrison.net':80
- 'ca#####neharrison.net':80
- 'ca#####naharrison.net':80
- 'ca#####nacassarah.net':80
- 'ca#####naviviette.net':80
- 'ca#####necassarah.net':80
- 'kr#####herviviette.net':80
- 'ev#####inaseabrooke.net':80
- 'be#####ardseabrooke.net':80
- 'ri#####inejosephson.net':80
- 'ri#####inevictorson.net':80
- 'ev#####inejosephson.net':80
- 'be#####ardvictorson.net':80
- 'ev#####inajosephson.net':80
- 'ev#####inavictorson.net':80
- 'ev#####inanathanson.net':80
- 'be#####ardnathanson.net':80
- 'ev#####inevictorson.net':80
- 'kr#####herharrison.net':80
- 'ca#####raangelica.net':80
- 'ca#####raharrison.net':80
- 'ca#####racassarah.net':80
- 'kr#####hercassarah.net':80
- 'ev#####inenathanson.net':80
- 'ri#####inenathanson.net':80
- 'ri#####ineseabrooke.net':80
- 'kr#####herangelica.net':80
- 'ev#####ineseabrooke.net':80
TCP:
Запросы HTTP GET:
- http://ki#####eecassarah.net/index.php
- http://ma#####iancassarah.net/index.php
- http://ma#####ianviviette.net/index.php
- http://ca#####naangelica.net/index.php
- http://ki#####eeviviette.net/index.php
- http://ma#####ianangelica.net/index.php
- http://ca#####raviviette.net/index.php
- http://ki#####eeangelica.net/index.php
- http://ki#####eeharrison.net/index.php
- http://ma#####ianharrison.net/index.php
- http://ca#####neangelica.net/index.php
- http://an#####teangelica.net/index.php
- http://ca#####neviviette.net/index.php
- http://ma#####neangelica.net/index.php
- http://ma#####neharrison.net/index.php
- http://an#####teharrison.net/index.php
- http://ca#####neharrison.net/index.php
- http://ca#####naharrison.net/index.php
- http://ca#####nacassarah.net/index.php
- http://ca#####naviviette.net/index.php
- http://ca#####necassarah.net/index.php
- http://kr#####herviviette.net/index.php
- http://ev#####inaseabrooke.net/index.php
- http://be#####ardseabrooke.net/index.php
- http://ri#####inejosephson.net/index.php
- http://ri#####inevictorson.net/index.php
- http://ev#####inejosephson.net/index.php
- http://be#####ardvictorson.net/index.php
- http://ev#####inajosephson.net/index.php
- http://ev#####inavictorson.net/index.php
- http://ev#####inanathanson.net/index.php
- http://be#####ardnathanson.net/index.php
- http://ev#####inevictorson.net/index.php
- http://kr#####herharrison.net/index.php
- http://ca#####raangelica.net/index.php
- http://ca#####raharrison.net/index.php
- http://ca#####racassarah.net/index.php
- http://kr#####hercassarah.net/index.php
- http://ev#####inenathanson.net/index.php
- http://ri#####inenathanson.net/index.php
- http://ri#####ineseabrooke.net/index.php
- http://kr#####herangelica.net/index.php
- http://ev#####ineseabrooke.net/index.php
UDP:
- DNS ASK ma#####ianviviette.net
- DNS ASK ki#####eecassarah.net
- DNS ASK ki#####eeviviette.net
- DNS ASK ca#####neangelica.net
- DNS ASK ca#####naangelica.net
- DNS ASK ma#####iancassarah.net
- DNS ASK ma#####ianangelica.net
- DNS ASK ca#####raviviette.net
- DNS ASK ki#####eeangelica.net
- DNS ASK ki#####eeharrison.net
- DNS ASK ma#####ianharrison.net
- DNS ASK ma#####neangelica.net
- DNS ASK an#####teangelica.net
- DNS ASK an#####teharrison.net
- DNS ASK an#####tecassarah.net
- DNS ASK ma#####neharrison.net
- DNS ASK ca#####neviviette.net
- DNS ASK ca#####neharrison.net
- DNS ASK ca#####naharrison.net
- DNS ASK ca#####nacassarah.net
- DNS ASK ca#####naviviette.net
- DNS ASK ca#####necassarah.net
- DNS ASK ri#####inejosephson.net
- DNS ASK ev#####inaseabrooke.net
- DNS ASK ev#####inejosephson.net
- DNS ASK ev#####inevictorson.net
- DNS ASK ri#####inevictorson.net
- DNS ASK be#####ardseabrooke.net
- DNS ASK be#####ardvictorson.net
- DNS ASK ev#####inajosephson.net
- DNS ASK ev#####inavictorson.net
- DNS ASK ev#####inanathanson.net
- DNS ASK be#####ardnathanson.net
- DNS ASK ca#####raharrison.net
- DNS ASK kr#####herharrison.net
- DNS ASK kr#####hercassarah.net
- DNS ASK kr#####herviviette.net
- DNS ASK ca#####racassarah.net
- DNS ASK ca#####raangelica.net
- DNS ASK ev#####inenathanson.net
- DNS ASK ri#####inenathanson.net
- DNS ASK ri#####ineseabrooke.net
- DNS ASK kr#####herangelica.net
- DNS ASK ev#####ineseabrooke.net
