Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Program Store Detection Layer Name Protocol' = '<SYSTEM32>\iabuxgfc.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\AutoConnect DNS Internet Log] 'ImagePath' = '<SYSTEM32>\iabuxgfc.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\AutoConnect DNS Internet Log] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\zspxqbt\run
- <SYSTEM32>\zspxqbt\rng
- %WINDIR%\Temp\u2d1dzp2u84sdgs.exe
- <SYSTEM32>\zspxqbt\cfg
- <SYSTEM32>\wkirlrre.exe
- %TEMP%\u2d1dzp2kspsdgsjplwt5.exe
- <SYSTEM32>\zspxqbt\tst
- <SYSTEM32>\iabuxgfc.exe
- <SYSTEM32>\zspxqbt\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\wkirlrre.exe
- <SYSTEM32>\iabuxgfc.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\u2d1dzp2u84sdgs.exe
- <DRIVERS>\etc\hosts
- %TEMP%\u2d1dzp2kspsdgsjplwt5.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'bo###ives.net':80
- 'ga###llow.net':80
- 'ga###ives.net':80
- 'fa###aste.net':80
- 'le###taste.net':80
- 'bo###llow.net':80
- 'bo###aste.net':80
- 'qu###gives.net':80
- 'ga###aste.net':80
- 'ga###arth.net':80
- 'bo###arth.net':80
- 'wa###aste.net':80
- 'mo###taste.net':80
- 'mo###earth.net':80
- 'mo###allow.net':80
- 'wa###arth.net':80
- 'fa###ives.net':80
- 'fa###arth.net':80
- 'le###earth.net':80
- 'le###allow.net':80
- 'le###gives.net':80
- 'fa###llow.net':80
- 'dr###stood.net':80
- 'we####dayguess.net':80
- 'na###tood.net':80
- 'na###ill.net':80
- 'dr###kill.net':80
- 'se###uess.net':80
- 'af###sllc.com':80
- 'ri###nstorm.net':80
- 'be##lxc.com':80
- 'we####dayfirst.net':80
- 'de###lxc.com':80
- 'qu###earth.net':80
- 'fi###earth.net':80
- 'fi###allow.net':80
- 'fi###gives.net':80
- 'qu###allow.net':80
- 'qu###taste.net':80
- 'na###irst.net':80
- 'dr###first.net':80
- 'dr###guess.net':80
- 'fi###taste.net':80
- 'na###uess.net':80
TCP:
Запросы HTTP GET:
- http://bo###ives.net/index.php
- http://ga###llow.net/index.php
- http://ga###ives.net/index.php
- http://fa###aste.net/index.php
- http://le###taste.net/index.php
- http://bo###llow.net/index.php
- http://bo###aste.net/index.php
- http://qu###gives.net/index.php
- http://ga###aste.net/index.php
- http://ga###arth.net/index.php
- http://bo###arth.net/index.php
- http://wa###aste.net/index.php
- http://mo###taste.net/index.php
- http://mo###earth.net/index.php
- http://mo###allow.net/index.php
- http://wa###arth.net/index.php
- http://fa###ives.net/index.php
- http://fa###arth.net/index.php
- http://le###earth.net/index.php
- http://le###allow.net/index.php
- http://le###gives.net/index.php
- http://fa###llow.net/index.php
- http://dr###stood.net/index.php
- http://we####dayguess.net/index.php
- http://na###tood.net/index.php
- http://na###ill.net/index.php
- http://dr###kill.net/index.php
- http://se###uess.net/index.php
- http://af###sllc.com/index.php
- http://ri###nstorm.net/index.php
- http://be##lxc.com/index.php
- http://we####dayfirst.net/index.php
- http://de###lxc.com/index.php
- http://qu###earth.net/index.php
- http://fi###earth.net/index.php
- http://fi###allow.net/index.php
- http://fi###gives.net/index.php
- http://qu###allow.net/index.php
- http://qu###taste.net/index.php
- http://na###irst.net/index.php
- http://dr###first.net/index.php
- http://dr###guess.net/index.php
- http://fi###taste.net/index.php
- http://na###uess.net/index.php
UDP:
- DNS ASK bo###ives.net
- DNS ASK ga###llow.net
- DNS ASK ga###ives.net
- DNS ASK fa###aste.net
- DNS ASK le###taste.net
- DNS ASK bo###llow.net
- DNS ASK bo###aste.net
- DNS ASK qu###gives.net
- DNS ASK ga###aste.net
- DNS ASK ga###arth.net
- DNS ASK bo###arth.net
- DNS ASK wa###aste.net
- DNS ASK mo###taste.net
- DNS ASK mo###earth.net
- DNS ASK mo###allow.net
- DNS ASK wa###arth.net
- DNS ASK fa###ives.net
- DNS ASK fa###arth.net
- DNS ASK le###earth.net
- DNS ASK le###allow.net
- DNS ASK le###gives.net
- DNS ASK fa###llow.net
- DNS ASK fi###gives.net
- DNS ASK we####dayguess.net
- DNS ASK se###uess.net
- DNS ASK dr###stood.net
- DNS ASK dr###kill.net
- DNS ASK na###tood.net
- DNS ASK af###sllc.com
- DNS ASK ri###nstorm.net
- DNS ASK be##lxc.com
- DNS ASK we####dayfirst.net
- DNS ASK de###lxc.com
- DNS ASK na###ill.net
- DNS ASK fi###earth.net
- DNS ASK qu###taste.net
- DNS ASK qu###earth.net
- DNS ASK qu###allow.net
- DNS ASK fi###allow.net
- DNS ASK na###irst.net
- DNS ASK dr###first.net
- DNS ASK dr###guess.net
- DNS ASK fi###taste.net
- DNS ASK na###uess.net
- '23#.#55.255.250':1900
Другое:
Создает и запускает на исполнение:
- '<SYSTEM32>\wkirlrre.exe' "<SYSTEM32>\iabuxgfc.exe"
- '%WINDIR%\Temp\u2d1dzp2u84sdgs.exe' -r 31963 tcp
- '%TEMP%\u2d1dzp2kspsdgsjplwt5.exe'
- '<SYSTEM32>\iabuxgfc.exe'
