Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Cryptographic Call AutoConfig WMI' = 'C:\ptwntyoxacandnn\thvfrgpi.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Information Discovery Foundation] 'ImagePath' = 'C:\ptwntyoxacandnn\thvfrgpi.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Information Discovery Foundation] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\ptwntyoxacandnn\lxqyipuv.exe' "c:\ptwntyoxacandnn\thvfrgpi.exe"
- 'C:\ptwntyoxacandnn\thvfrgpi.exe'
- 'C:\ptwntyoxacandnn\eypb39penyv9qiqxsr.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\ptwntyoxacandnn\thvfrgpi.exe
- C:\ptwntyoxacandnn\lxqyipuv.exe
- C:\ptwntyoxacandnn\eypb39penyv9qiqxsr.exe
- %WINDIR%\ptwntyoxacandnn\nadizoq
- C:\ptwntyoxacandnn\nadizoq
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\ptwntyoxacandnn\lxqyipuv.exe
- C:\ptwntyoxacandnn\thvfrgpi.exe
Удаляет следующие файлы:
- C:\ptwntyoxacandnn\eypb39penyv9qiqxsr.exe
- %WINDIR%\ptwntyoxacandnn\nadizoq
Подменяет следующие файлы:
- %WINDIR%\ptwntyoxacandnn\nadizoq
Сетевая активность:
Подключается к:
- 'el####icgovern.net':80
- 'st####nature.net':80
- 'tr###nature.net':80
- 're####enough.net':80
- 'el####icenough.net':80
- 're####govern.net':80
- 'st####needle.net':80
- 'st####govern.net':80
- 'tr###govern.net':80
- 'be####nature.net':80
- 'tr###needle.net':80
- 'st####enough.net':80
- 'tr###enough.net':80
- 'el####icneedle.net':80
- 'ca####nnature.net':80
- 'la###needle.net':80
- 'ca####nneedle.net':80
- 'ni###govern.net':80
- 'de####govern.net':80
- 'la###nature.net':80
- 'la###enough.net':80
- 're####nature.net':80
- 'el####icnature.net':80
- 're####needle.net':80
- 'ca####nenough.net':80
- 'la###govern.net':80
- 'ca####ngovern.net':80
TCP:
Запросы HTTP GET:
- http://el####icgovern.net/index.php
- http://st####nature.net/index.php
- http://tr###nature.net/index.php
- http://re####enough.net/index.php
- http://el####icenough.net/index.php
- http://re####govern.net/index.php
- http://st####needle.net/index.php
- http://st####govern.net/index.php
- http://tr###govern.net/index.php
- http://be####nature.net/index.php
- http://tr###needle.net/index.php
- http://st####enough.net/index.php
- http://tr###enough.net/index.php
- http://el####icneedle.net/index.php
- http://ca####nnature.net/index.php
- http://la###needle.net/index.php
- http://ca####nneedle.net/index.php
- http://ni###govern.net/index.php
- http://de####govern.net/index.php
- http://la###nature.net/index.php
- http://la###enough.net/index.php
- http://re####nature.net/index.php
- http://el####icnature.net/index.php
- http://re####needle.net/index.php
- http://ca####nenough.net/index.php
- http://la###govern.net/index.php
- http://ca####ngovern.net/index.php
UDP:
- DNS ASK el####icgovern.net
- DNS ASK st####nature.net
- DNS ASK tr###nature.net
- DNS ASK re####enough.net
- DNS ASK el####icenough.net
- DNS ASK re####govern.net
- DNS ASK st####needle.net
- DNS ASK st####govern.net
- DNS ASK tr###govern.net
- DNS ASK be####nature.net
- DNS ASK tr###needle.net
- DNS ASK st####enough.net
- DNS ASK tr###enough.net
- DNS ASK el####icneedle.net
- DNS ASK ca####nnature.net
- DNS ASK la###needle.net
- DNS ASK ca####nneedle.net
- DNS ASK ni###govern.net
- DNS ASK de####govern.net
- DNS ASK la###nature.net
- DNS ASK la###enough.net
- DNS ASK re####nature.net
- DNS ASK el####icnature.net
- DNS ASK re####needle.net
- DNS ASK ca####nenough.net
- DNS ASK la###govern.net
- DNS ASK ca####ngovern.net
