Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Browser Filtering Key IKE' = 'C:\bqgjflqb0\hwdtjmuir.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\ActiveX Task Store User-mode] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\ActiveX Task Store User-mode] 'ImagePath' = 'C:\bqgjflqb0\hwdtjmuir.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\bqgjflqb0\u49hcqprasg
- C:\bqgjflqb0\u49hcqprasg
- C:\bqgjflqb0\fqiplce72rvxokjxzcwnrmr.exe
- C:\bqgjflqb0\hwdtjmuir.exe
- C:\bqgjflqb0\yxjgdhl.exe
- C:\bqgjflqb0\ayevw48rwyj
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\bqgjflqb0\hwdtjmuir.exe
- C:\bqgjflqb0\yxjgdhl.exe
Удаляет следующие файлы:
- %WINDIR%\bqgjflqb0\u49hcqprasg
- C:\bqgjflqb0\fqiplce72rvxokjxzcwnrmr.exe
Подменяет следующие файлы:
- %WINDIR%\bqgjflqb0\u49hcqprasg
Сетевая активность:
Подключается к:
- 'ha#####tematthewson.net':80
- 'si######eoutterridge.net':80
- 'st######aoutterridge.net':80
- 'si#####tematthewson.net':80
- 'st#####iamatthewson.net':80
- 'si######ecristiansen.net':80
- 'ma#####nemurgatroyd.net':80
- 'gr#####lemurgatroyd.net':80
- 'st######acristiansen.net':80
- 'me#####herphilomena.net':80
- 'ca#####nephilomena.net':80
- 'me#####herfrederick.net':80
- 'ca#####nefrederick.net':80
- 'me#####hergallagher.net':80
- 'si#####temurgatroyd.net':80
- 'st#####iamurgatroyd.net':80
- 'gr######ecristiansen.net':80
- 'ma######ecristiansen.net':80
- 'gr#####lematthewson.net':80
- 'gw######ncristiansen.net':80
- 'ha#####temurgatroyd.net':80
- 'gw#####ynmurgatroyd.net':80
- 'je######eoutterridge.net':80
- 'ki######youtterridge.net':80
- 'je#####tematthewson.net':80
- 'ha######ecristiansen.net':80
- 'ki#####eymatthewson.net':80
- 'ki######ycristiansen.net':80
- 'je#####temurgatroyd.net':80
- 'ki#####eymurgatroyd.net':80
- 'ma######eoutterridge.net':80
- 'gr######eoutterridge.net':80
- 'ma#####nematthewson.net':80
- 'je######ecristiansen.net':80
- 'ca#####negallagher.net':80
- 'me#####herkristina.net':80
TCP:
Запросы HTTP GET:
- http://ha#####tematthewson.net/index.php
- http://si######eoutterridge.net/index.php
- http://st######aoutterridge.net/index.php
- http://si#####tematthewson.net/index.php
- http://st#####iamatthewson.net/index.php
- http://si######ecristiansen.net/index.php
- http://ma#####nemurgatroyd.net/index.php
- http://gr#####lemurgatroyd.net/index.php
- http://st######acristiansen.net/index.php
- http://me#####herphilomena.net/index.php
- http://ca#####nephilomena.net/index.php
- http://me#####herfrederick.net/index.php
- http://ca#####nefrederick.net/index.php
- http://me#####hergallagher.net/index.php
- http://si#####temurgatroyd.net/index.php
- http://st#####iamurgatroyd.net/index.php
- http://gr######ecristiansen.net/index.php
- http://ma######ecristiansen.net/index.php
- http://gr#####lematthewson.net/index.php
- http://gw######ncristiansen.net/index.php
- http://ha#####temurgatroyd.net/index.php
- http://gw#####ynmurgatroyd.net/index.php
- http://je######eoutterridge.net/index.php
- http://ki######youtterridge.net/index.php
- http://je#####tematthewson.net/index.php
- http://ha######ecristiansen.net/index.php
- http://ki#####eymatthewson.net/index.php
- http://ki######ycristiansen.net/index.php
- http://je#####temurgatroyd.net/index.php
- http://ki#####eymurgatroyd.net/index.php
- http://ma######eoutterridge.net/index.php
- http://gr######eoutterridge.net/index.php
- http://ma#####nematthewson.net/index.php
- http://je######ecristiansen.net/index.php
- http://ca#####negallagher.net/index.php
- http://me#####herkristina.net/index.php
UDP:
- DNS ASK ha#####tematthewson.net
- DNS ASK si######eoutterridge.net
- DNS ASK st######aoutterridge.net
- DNS ASK si#####tematthewson.net
- DNS ASK st#####iamatthewson.net
- DNS ASK si######ecristiansen.net
- DNS ASK st######acristiansen.net
- DNS ASK ki#####eymatthewson.net
- DNS ASK si#####temurgatroyd.net
- DNS ASK me#####herphilomena.net
- DNS ASK ca#####nephilomena.net
- DNS ASK me#####herfrederick.net
- DNS ASK ca#####nefrederick.net
- DNS ASK me#####hergallagher.net
- DNS ASK ca#####negallagher.net
- DNS ASK ma#####nemurgatroyd.net
- DNS ASK gr#####lemurgatroyd.net
- DNS ASK gr######ecristiansen.net
- DNS ASK ma######ecristiansen.net
- DNS ASK gr#####lematthewson.net
- DNS ASK ha######ecristiansen.net
- DNS ASK gw######ncristiansen.net
- DNS ASK ha#####temurgatroyd.net
- DNS ASK gw#####ynmurgatroyd.net
- DNS ASK je######eoutterridge.net
- DNS ASK ki######youtterridge.net
- DNS ASK me#####herkristina.net
- DNS ASK st#####iamurgatroyd.net
- DNS ASK je#####tematthewson.net
- DNS ASK ki######ycristiansen.net
- DNS ASK je#####temurgatroyd.net
- DNS ASK ki#####eymurgatroyd.net
- DNS ASK ma######eoutterridge.net
- DNS ASK gr######eoutterridge.net
- DNS ASK ma#####nematthewson.net
- DNS ASK gw#####ynmatthewson.net
- DNS ASK je######ecristiansen.net
- DNS ASK ca#####nekristina.net
Другое:
Создает и запускает на исполнение:
- 'C:\bqgjflqb0\fqiplce72rvxokjxzcwnrmr.exe'
- 'C:\bqgjflqb0\hwdtjmuir.exe'
- 'C:\bqgjflqb0\yxjgdhl.exe' "c:\bqgjflqb0\hwdtjmuir.exe"
