Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\arbqxnkn] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\arbqxnkn] 'ImagePath' = '<SYSTEM32>\arbqxnkn\kkjpaovy.exe /d"<Полный путь к файлу>"'
- [<HKLM>\SYSTEM\CurrentControlSet\services\arbqxnkn] 'ImagePath' = '<SYSTEM32>\arbqxnkn\kkjpaovy.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\kkjpaovy.exe
- C:\documents and settings\localservice:.repos
Перемещает следующие файлы
- %TEMP%\kkjpaovy.exe в <SYSTEM32>\arbqxnkn\kkjpaovy.exe
Самоудаляется.
Сетевая активность
Подключается к
- 'go###e.co.uk':443
- 'mx#.#pgi.com.au':25
- 'mx#.#eek.com.ar':25
- 'gmail-smtp-in.l.google.com':25
- 'co###phonic.com':25
- 'ex#####.bpbb.bigpond.com':25
- 'se##.entorno.es':25
- 'ma##.#ompup.com.ec':25
- 'mx####.carrierzone.com':25
- 'pa####rt.twitch.tv':443
- 'mx#######c01.gslb.pphosted.com':25
- 'ne#.#zoo.edu':25
- 'ig#.apc.org':25
- 'mx###.##il.am0.yahoodns.net':25
- 'ho#########.olc.protection.outlook.com':25
- 'aspmx.l.google.com':25
- 'al######x-vip2.prodigy.net':25
- 'mx###.in-mx.net':25
- '69.#1.136.5':443
- '14#.#6.108.92':483
- 'au##.#iotgames.com':443
- 'mx#######a01.gslb.pphosted.com':25
- 'mx#######901.gslb.pphosted.com':25
TCP
Запросы HTTP GET
- http://www.google.com/
- http://ap#.##address.com/myip
UDP
- DNS ASK mi##########m.mail.protection.outlook.com
- DNS ASK ne#.#zoo.edu
- DNS ASK co###net.net
- DNS ASK mx####.carrierzone.com
- DNS ASK co###p.com.ec
- DNS ASK ma##.#ompup.com.ec
- DNS ASK en##ecto.es
- DNS ASK eq.#vigo.es
- DNS ASK es#.es
- DNS ASK ja.#rg.ar
- DNS ASK en##rno.es
- DNS ASK mx#######a01.gslb.pphosted.com
- DNS ASK kz##.edu
- DNS ASK se##.entorno.es
- DNS ASK co###phonic.com
- DNS ASK se##.com.ar
- DNS ASK gm##l.com
- DNS ASK mx#.#eek.com.ar
- DNS ASK gmail-smtp-in.l.google.com
- DNS ASK tp#.com.au
- DNS ASK mx#.#pgi.com.au
- DNS ASK to##rs.com
- DNS ASK mx#######c01.gslb.pphosted.com
- DNS ASK me###t.ucla.edu
- DNS ASK bi###nd.net.au
- DNS ASK ex#####.bpbb.bigpond.com
- DNS ASK en##sa.es
- DNS ASK el####rcio-sa.es
- DNS ASK em#.uc3m.es
- DNS ASK 19#.###.#11.95.dnsbl.sorbs.net
- DNS ASK 19#.###.#11.95.bl.spamcop.net
- DNS ASK 19#.###.#11.95.zen.spamhaus.org
- DNS ASK 19#.###.##1.95.sbl-xbl.spamhaus.org
- DNS ASK 19#.###.#11.95.cbl.abuseat.org
- DNS ASK ho##ail.com
- DNS ASK ho#########.olc.protection.outlook.com
- DNS ASK ed#t.es
- DNS ASK ig#.apc.org
- DNS ASK google.com
- DNS ASK au##.#iotgames.com
- DNS ASK 19#.###.211.95.in-addr.arpa
- DNS ASK pa####rt.twitch.tv
- DNS ASK ee#.es
- DNS ASK mx###.in-mx.net
- DNS ASK es###link.com
- DNS ASK sb###obal.net
- DNS ASK al######x-vip2.prodigy.net
- DNS ASK th####cleschool.org
- DNS ASK ya##o.co.uk
- DNS ASK aspmx.l.google.com
- DNS ASK mx###.##il.am0.yahoodns.net
- DNS ASK eh#.es
- DNS ASK em##ile.es
- DNS ASK go###e.co.uk
- DNS ASK mx#######901.gslb.pphosted.com
- DNS ASK pw#.edu.ph
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\arbqxnkn\kkjpaovy.exe' /d"<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\arbqxnkn\' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\kkjpaovy.exe" <SYSTEM32>\arbqxnkn\' (со скрытым окном)
- '<SYSTEM32>\sc.exe' create arbqxnkn binPath= "<SYSTEM32>\arbqxnkn\kkjpaovy.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
- '<SYSTEM32>\sc.exe' description arbqxnkn "wifi internet conection"' (со скрытым окном)
- '<SYSTEM32>\sc.exe' start arbqxnkn' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\arbqxnkn\
- '<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\kkjpaovy.exe" <SYSTEM32>\arbqxnkn\
- '<SYSTEM32>\sc.exe' create arbqxnkn binPath= "<SYSTEM32>\arbqxnkn\kkjpaovy.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
- '<SYSTEM32>\sc.exe' description arbqxnkn "wifi internet conection"
- '<SYSTEM32>\sc.exe' start arbqxnkn
- '<SYSTEM32>\svchost.exe'
