Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Task Secure Parental Brightness' = 'C:\fgvsnt2\yq3oju6adu.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\BitLocker Access Connect Policy Firewall Config] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\BitLocker Access Connect Policy Firewall Config] 'ImagePath' = 'C:\fgvsnt2\yq3oju6adu.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\fgvsnt2\dxgvyzc
- C:\fgvsnt2\dxgvyzc
- C:\fgvsnt2\gmdumim43706p9tpcwcnfn.exe
- C:\fgvsnt2\yq3oju6adu.exe
- C:\fgvsnt2\dztmrmvqwna.exe
- C:\fgvsnt2\dhjuelin
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\fgvsnt2\yq3oju6adu.exe
- C:\fgvsnt2\dztmrmvqwna.exe
Удаляет следующие файлы:
- %WINDIR%\fgvsnt2\dxgvyzc
- C:\fgvsnt2\gmdumim43706p9tpcwcnfn.exe
Подменяет следующие файлы:
- %WINDIR%\fgvsnt2\dxgvyzc
Сетевая активность:
Подключается к:
- 'ma######anmerrickson.net':80
- 'st######echristophers.net':80
- 'ch#####temerrickson.net':80
- 'st#####iemerrickson.net':80
- 'ki######nmiddlesworth.net':80
- 'gl######emiddlesworth.net':80
- 'ki#####ynhuddleston.net':80
- 'gl#####lehuddleston.net':80
- 'ki######nchristophers.net':80
- 'ki#####ynmerrickson.net':80
- 'ge#####vemerrickson.net':80
- 'gl#####lemerrickson.net':80
- 'je######emiddlesworth.net':80
- 'ge######emiddlesworth.net':80
- 'je#####nehuddleston.net':80
- 'ge#####vehuddleston.net':80
- 'je######echristophers.net':80
- 'ge######echristophers.net':80
- 'je#####nemerrickson.net':80
- 'ch######echristophers.net':80
- 'gl######echristophers.net':80
- 'st#####iehuddleston.net':80
- 'ca#####nemerrickson.net':80
- 'ki#####eemerrickson.net':80
- 'ca######amiddlesworth.net':80
- 'ca######emiddlesworth.net':80
- 'ca#####nahuddleston.net':80
- 'ca#####nehuddleston.net':80
- 'ca######achristophers.net':80
- 'ca######echristophers.net':80
- 'ca#####namerrickson.net':80
- 'an######emiddlesworth.net':80
- 'st######emiddlesworth.net':80
- 'ma######emiddlesworth.net':80
- 'an#####tehuddleston.net':80
- 'ma#####nehuddleston.net':80
- 'an######echristophers.net':80
- 'ma######echristophers.net':80
- 'an#####temerrickson.net':80
- 'ma#####nemerrickson.net':80
- 'ch######emiddlesworth.net':80
- 'ch#####tehuddleston.net':80
- 'ze######hmiddlesworth.net':80
TCP:
Запросы HTTP GET:
- http://ma######anmerrickson.net/index.php
- http://st######echristophers.net/index.php
- http://ch#####temerrickson.net/index.php
- http://st#####iemerrickson.net/index.php
- http://ki######nmiddlesworth.net/index.php
- http://gl######emiddlesworth.net/index.php
- http://ki#####ynhuddleston.net/index.php
- http://gl#####lehuddleston.net/index.php
- http://ki######nchristophers.net/index.php
- http://ki#####ynmerrickson.net/index.php
- http://ge#####vemerrickson.net/index.php
- http://gl#####lemerrickson.net/index.php
- http://je######emiddlesworth.net/index.php
- http://ge######emiddlesworth.net/index.php
- http://je#####nehuddleston.net/index.php
- http://ge#####vehuddleston.net/index.php
- http://je######echristophers.net/index.php
- http://ge######echristophers.net/index.php
- http://je#####nemerrickson.net/index.php
- http://ch######echristophers.net/index.php
- http://gl######echristophers.net/index.php
- http://st#####iehuddleston.net/index.php
- http://ca#####nemerrickson.net/index.php
- http://ki#####eemerrickson.net/index.php
- http://ca######amiddlesworth.net/index.php
- http://ca######emiddlesworth.net/index.php
- http://ca#####nahuddleston.net/index.php
- http://ca#####nehuddleston.net/index.php
- http://ca######achristophers.net/index.php
- http://ca######echristophers.net/index.php
- http://ca#####namerrickson.net/index.php
- http://an######emiddlesworth.net/index.php
- http://st######emiddlesworth.net/index.php
- http://ma######emiddlesworth.net/index.php
- http://an#####tehuddleston.net/index.php
- http://ma#####nehuddleston.net/index.php
- http://an######echristophers.net/index.php
- http://ma######echristophers.net/index.php
- http://an#####temerrickson.net/index.php
- http://ma#####nemerrickson.net/index.php
- http://ch######emiddlesworth.net/index.php
- http://ch#####tehuddleston.net/index.php
- http://ze######hmiddlesworth.net/index.php
UDP:
- DNS ASK ma######anmerrickson.net
- DNS ASK st######echristophers.net
- DNS ASK ch#####temerrickson.net
- DNS ASK st#####iemerrickson.net
- DNS ASK ki######nmiddlesworth.net
- DNS ASK gl######emiddlesworth.net
- DNS ASK ki#####ynhuddleston.net
- DNS ASK gl#####lehuddleston.net
- DNS ASK ki######nchristophers.net
- DNS ASK ki#####ynmerrickson.net
- DNS ASK ge#####vemerrickson.net
- DNS ASK gl#####lemerrickson.net
- DNS ASK je######emiddlesworth.net
- DNS ASK ge######emiddlesworth.net
- DNS ASK je#####nehuddleston.net
- DNS ASK ge#####vehuddleston.net
- DNS ASK je######echristophers.net
- DNS ASK ge######echristophers.net
- DNS ASK je#####nemerrickson.net
- DNS ASK ch######echristophers.net
- DNS ASK gl######echristophers.net
- DNS ASK st#####iehuddleston.net
- DNS ASK ca#####nemerrickson.net
- DNS ASK ki#####eemerrickson.net
- DNS ASK ca######amiddlesworth.net
- DNS ASK ca######emiddlesworth.net
- DNS ASK ca#####nahuddleston.net
- DNS ASK ca#####nehuddleston.net
- DNS ASK ca######achristophers.net
- DNS ASK ca######echristophers.net
- DNS ASK ca#####namerrickson.net
- DNS ASK an######emiddlesworth.net
- DNS ASK st######emiddlesworth.net
- DNS ASK ma######emiddlesworth.net
- DNS ASK an#####tehuddleston.net
- DNS ASK ma#####nehuddleston.net
- DNS ASK an######echristophers.net
- DNS ASK ma######echristophers.net
- DNS ASK an#####temerrickson.net
- DNS ASK ma#####nemerrickson.net
- DNS ASK ch######emiddlesworth.net
- DNS ASK ch#####tehuddleston.net
- DNS ASK ze######hmiddlesworth.net
Другое:
Создает и запускает на исполнение:
- 'C:\fgvsnt2\gmdumim43706p9tpcwcnfn.exe'
- 'C:\fgvsnt2\yq3oju6adu.exe'
- 'C:\fgvsnt2\dztmrmvqwna.exe' "c:\fgvsnt2\yq3oju6adu.exe"
