Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Tunneling Policy Volume Tracking Now Network' = 'C:\wypcxuacu\ma4sx9zawh72u.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Media User-mode Transaction Grouping] 'ImagePath' = 'C:\wypcxuacu\ma4sx9zawh72u.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Media User-mode Transaction Grouping] 'Start' = '00000002'
Изменения в файловой системе:
Создает следующие файлы:
- C:\wypcxuacu\ma4sx9zawh72u.exe
- C:\wypcxuacu\qqlgtaho.exe
- C:\wypcxuacu\vkre4xqriafx
- %WINDIR%\wypcxuacu\puiloq6
- C:\wypcxuacu\puiloq6
- C:\wypcxuacu\i3nxnom2n1fsipmgtxzlrje.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\wypcxuacu\qqlgtaho.exe
- C:\wypcxuacu\ma4sx9zawh72u.exe
Удаляет следующие файлы:
- C:\wypcxuacu\i3nxnom2n1fsipmgtxzlrje.exe
- %WINDIR%\wypcxuacu\puiloq6
Подменяет следующие файлы:
- %WINDIR%\wypcxuacu\puiloq6
Сетевая активность:
Подключается к:
- 'ga#####lemirabelle.net':80
- 'an#####lamirabelle.net':80
- 'an#####lamadelina.net':80
- 'an#####laesmaralda.net':80
- 'ga#####lemadelina.net':80
- 'br#####iaesmaralda.net':80
- 'ga#####lamadelina.net':80
- 'ga#####laesmaralda.net':80
- 'ga#####laamethyst.net':80
- 'br#####iaamethyst.net':80
- 'gr#####leanabella.net':80
- 'si#####eranabella.net':80
- 'si#####erferdinand.net':80
- 'si#####ersharlene.net':80
- 'gr#####leferdinand.net':80
- 'an#####laamethyst.net':80
- 'ga#####leesmaralda.net':80
- 'ga#####leamethyst.net':80
- 'gr#####lejosephina.net':80
- 'si#####erjosephina.net':80
- 'ge#####neesmaralda.net':80
- 'he#####taesmaralda.net':80
- 'he#####taamethyst.net':80
- 'gr#####ormirabelle.net':80
- 'ge#####neamethyst.net':80
- 'he#####tamirabelle.net':80
- 'br#####teamethyst.net':80
- 'ge#####nemirabelle.net':80
- 'ge#####nemadelina.net':80
- 'he#####tamadelina.net':80
- 'sh#####leamethyst.net':80
- 'gr#####oramethyst.net':80
- 'br#####iamirabelle.net':80
- 'br#####iamadelina.net':80
- 'ga#####lamirabelle.net':80
- 'gr#####ormadelina.net':80
- 'sh#####lemirabelle.net':80
- 'sh#####lemadelina.net':80
- 'sh#####leesmaralda.net':80
- 'gr#####oresmaralda.net':80
TCP:
Запросы HTTP GET:
- http://ga#####lemirabelle.net/index.php
- http://an#####lamirabelle.net/index.php
- http://an#####lamadelina.net/index.php
- http://an#####laesmaralda.net/index.php
- http://ga#####lemadelina.net/index.php
- http://br#####iaesmaralda.net/index.php
- http://ga#####lamadelina.net/index.php
- http://ga#####laesmaralda.net/index.php
- http://ga#####laamethyst.net/index.php
- http://br#####iaamethyst.net/index.php
- http://gr#####leanabella.net/index.php
- http://si#####eranabella.net/index.php
- http://si#####erferdinand.net/index.php
- http://si#####ersharlene.net/index.php
- http://gr#####leferdinand.net/index.php
- http://an#####laamethyst.net/index.php
- http://ga#####leesmaralda.net/index.php
- http://ga#####leamethyst.net/index.php
- http://gr#####lejosephina.net/index.php
- http://si#####erjosephina.net/index.php
- http://ge#####neesmaralda.net/index.php
- http://he#####taesmaralda.net/index.php
- http://he#####taamethyst.net/index.php
- http://gr#####ormirabelle.net/index.php
- http://ge#####neamethyst.net/index.php
- http://he#####tamirabelle.net/index.php
- http://br#####teamethyst.net/index.php
- http://ge#####nemirabelle.net/index.php
- http://ge#####nemadelina.net/index.php
- http://he#####tamadelina.net/index.php
- http://sh#####leamethyst.net/index.php
- http://gr#####oramethyst.net/index.php
- http://br#####iamirabelle.net/index.php
- http://br#####iamadelina.net/index.php
- http://ga#####lamirabelle.net/index.php
- http://gr#####ormadelina.net/index.php
- http://sh#####lemirabelle.net/index.php
- http://sh#####lemadelina.net/index.php
- http://sh#####leesmaralda.net/index.php
- http://gr#####oresmaralda.net/index.php
UDP:
- DNS ASK an#####lamadelina.net
- DNS ASK ga#####lemirabelle.net
- DNS ASK ga#####lemadelina.net
- DNS ASK ga#####leesmaralda.net
- DNS ASK an#####laesmaralda.net
- DNS ASK ga#####laesmaralda.net
- DNS ASK br#####iaesmaralda.net
- DNS ASK br#####iaamethyst.net
- DNS ASK an#####lamirabelle.net
- DNS ASK ga#####laamethyst.net
- DNS ASK si#####erferdinand.net
- DNS ASK gr#####leanabella.net
- DNS ASK gr#####leferdinand.net
- DNS ASK gr#####lesharlene.net
- DNS ASK si#####ersharlene.net
- DNS ASK ga#####leamethyst.net
- DNS ASK an#####laamethyst.net
- DNS ASK si#####erjosephina.net
- DNS ASK si#####eranabella.net
- DNS ASK gr#####lejosephina.net
- DNS ASK ga#####lamadelina.net
- DNS ASK ge#####neesmaralda.net
- DNS ASK he#####taesmaralda.net
- DNS ASK he#####taamethyst.net
- DNS ASK gr#####ormirabelle.net
- DNS ASK ge#####neamethyst.net
- DNS ASK he#####tamirabelle.net
- DNS ASK br#####teamethyst.net
- DNS ASK ge#####nemirabelle.net
- DNS ASK ge#####nemadelina.net
- DNS ASK he#####tamadelina.net
- DNS ASK sh#####leamethyst.net
- DNS ASK gr#####oramethyst.net
- DNS ASK br#####iamirabelle.net
- DNS ASK br#####iamadelina.net
- DNS ASK ga#####lamirabelle.net
- DNS ASK gr#####ormadelina.net
- DNS ASK sh#####lemirabelle.net
- DNS ASK sh#####lemadelina.net
- DNS ASK sh#####leesmaralda.net
- DNS ASK gr#####oresmaralda.net
Другое:
Создает и запускает на исполнение:
- 'C:\wypcxuacu\qqlgtaho.exe' "c:\wypcxuacu\ma4sx9zawh72u.exe"
- 'C:\wypcxuacu\ma4sx9zawh72u.exe'
- 'C:\wypcxuacu\i3nxnom2n1fsipmgtxzlrje.exe'
