Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'XnsHlinr' = '<LS_APPDATA>\phbrbfeb\xnshlinr.exe'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,,<LS_APPDATA>\phbrbfeb\xnshlinr.exe'
Создает или изменяет следующие файлы
- %HOMEPATH%\start menu\programs\startup\xnshlinr.exe
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\hjkmsrtx.exe
- %ALLUSERSPROFILE%\application data\fogfhbxu.log
- <LS_APPDATA>\rnxhjjqt.log
- %TEMP%\oprcqmip.exe
- <LS_APPDATA>\phbrbfeb\xnshlinr.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %HOMEPATH%\start menu\programs\startup\xnshlinr.exe
Сетевая активность
Подключается к
- 'google.com':80
- 'rf###kfsdf.com':443
UDP
- DNS ASK google.com
- DNS ASK jj####wmhjpk.com
- DNS ASK kg###ucbyc.com
- DNS ASK lb#####jxbvhutivr.com
- DNS ASK bj###iih.com
- DNS ASK tt#####jgplhxwofmir.com
- DNS ASK pn#####hmmjiefarjgx.com
- DNS ASK rr####fbglyr.com
- DNS ASK gc####daxuwyj.com
- DNS ASK xp###tcrf.com
- DNS ASK vh###ogdk.com
- DNS ASK kj###btj.com
- DNS ASK ij###unj.com
- DNS ASK rf###kfsdf.com
- DNS ASK da####qnnpoclb.com
- DNS ASK jc#####xctjjtspmy.com
- DNS ASK ut###dhf.com
- DNS ASK jn####pdvgqgfja.com
- DNS ASK ir#####pbthkeioye.com
- DNS ASK vt####seaimtvhl.com
- DNS ASK xq####xrfmhe.com
- DNS ASK ir#####dqvvngdrotgw.com
- DNS ASK dg###ujl.com
- DNS ASK et###aaj.com
- DNS ASK iy#####rdaouxrwjacn.com
- DNS ASK oq#####oylxgqffxdsu.com
- DNS ASK af#####vcribkerdko.com
- DNS ASK qb###lmh.com
- DNS ASK kj###nxqomr.com
- DNS ASK hc###rayc.com
- DNS ASK vu####guxcyvk.com
- DNS ASK cw####rxkvbvotq.com
- DNS ASK rw####aqevvisrj.com
- DNS ASK ge###ecaav.com
- DNS ASK sr####byfetgcjl.com
- DNS ASK up#####oxcgethjbk.com
- DNS ASK gq###iyk.com
- DNS ASK ak####araastt.com
- DNS ASK ei###wtli.com
- DNS ASK cn#####crnskxvmb.com
- DNS ASK fm#####bcmjdssvtluh.com
- DNS ASK bn###kpd.com
- DNS ASK ne###icc.com
- DNS ASK rh####lfrwyqp.com
- DNS ASK fy###ndomj.com
- DNS ASK yf###lxm.com
- DNS ASK hw####rxmujipdj.com
- DNS ASK we####yvgbugrcf.com
- DNS ASK ac#####yelmuhmywy.com
- DNS ASK uu####frxrtdhc.com
- DNS ASK ow####pflsih.com
- DNS ASK ev###ius.com
Другое
Создает и запускает на исполнение
- '%TEMP%\hjkmsrtx.exe'
Запускает на исполнение
- '<SYSTEM32>\svchost.exe'
