Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '<LS_APPDATA>\f5a698ed\X'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\.ipsec] 'ImagePath' = '\?'
Вредоносные функции:
Создает и запускает на исполнение:
- <LS_APPDATA>\f5a698ed\X
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\f5a698ed\@
- <LS_APPDATA>\f5a698ed\X
- %WINDIR%\$NtUninstallKB37556$\4121336045\L\alehhooo
- %WINDIR%\$NtUninstallKB37556$\4121336045\@
Сетевая активность:
Подключается к:
- '18#.#8.118.67':21810
- '62.##.111.145':21810
- '89.##5.89.150':21810
- '11#.#3.35.166':21810
- '18#.#60.16.163':21810
- '15#.#7.102.91':21810
- '76.##.56.207':21810
- '89.##9.68.13':21810
- '10#.#34.216.67':21810
- '11#.#34.55.99':21810
- '11#.#03.61.117':21810
- '22#.#86.4.184':21810
- '11#.#7.153.160':21810
- '41.##0.31.220':21810
- '17#.#71.46.212':21810
- '49.##2.231.4':21810
- '20#.#94.117.201':21810
- '20#.#7.118.210':21810
- '11#.#9.12.29':21810
- '11#.#42.96.188':21810
- '92.##.198.23':21810
- '10.##9.168.13':21810
- '46.##4.101.20':21810
- '18#.#60.24.157':21810
- '59.##3.201.69':21810
- '24.##.23.104':21810
- '19#.#9.78.81':21810
- '71.##.101.42':21810
- '11#.#9.3.155':21810
- '80.##.154.244':21810
- '12#.#83.220.85':21810
- '16#.#80.145.127':21810
- '89.##4.93.53':21810
- '11#.#97.187.74':21810
- '31.##8.201.173':21810
- '17#.#9.0.195':21810
- '11#.#84.25.113':21810
- '18#.#91.157.21':21810
- '11#.#54.28.114':21810
- '10.##4.232.20':21810
- '68.##.111.118':21810
- '12#.#24.137.178':21810
- '11#.#5.5.109':21810
- '98.##1.148.84':21810
- '95.##4.38.188':21810
- '18#.#60.44.180':21810
- '11#.#05.21.254':21810
- '76.##7.65.103':21810
- '86.##1.88.86':21810
- '79.##5.190.251':21810
- '13#.#0.19.121':21810
- '89.##9.17.86':21810
- '11#.#3.159.90':21810
- '17#.#0.203.142':21810
- '24.##0.146.108':21810
- '58.#.193.189':21810
- '11#.#84.164.76':21810
- '18#.#8.174.253':21810
- '18#.#15.74.141':21810
- '46.##5.68.95':21810
- '11#.#41.224.74':21810
- '72.##0.15.223':21810
- '18#.#10.231.72':21810
- '46.##.252.44':21810
- '78.##.33.118':21810
- '11#.#42.33.222':21810
- '46.##9.223.92':21810
- '11#.#93.205.178':21810
- '10#.#8.19.198':21810
- '10#.#21.211.253':21810
- '11#.#54.0.41':21810
- '76.##8.5.170':21810
- '11#.#52.176.104':21810
- '11#.#9.57.45':21810
- '11#.#9.13.225':21810
- '17#.#02.37.222':21810
- '82.##3.164.194':21810
- '78.##.202.195':21810
- '93.##5.224.111':21810
- '2.###.156.126':21810
- '11#.#9.59.24':21810
- '49.##9.118.56':21810
- '58.##.152.45':21810
- '11#.#54.143.218':21810
- '92.##.240.128':21810
- '19#.#46.173.100':21810
- '17#.#58.197.173':21810
- '18#.#2.147.55':21810
- '11#.#9.34.243':21810
- '66.##7.122.118':21810
- '11#.#9.52.151':21810
- '11#.#9.13.156':21810
- '17#.#68.19.134':21810
- '8.##.204.44':21810
- '79.##3.20.68':21810
- '31.##1.231.31':21810
- '12#.#8.37.132':21810
- '2.###.86.101':21810
- '89.##7.158.74':21810
- '78.##2.148.232':21810
- '27.#.209.197':21810
- '21#.#.131.233':21810
- '11#.#51.245.226':21810
- '84.##.251.167':21810
- '79.##4.128.191':21810
- '71.##.32.247':21810
- '24.##2.104.24':21810
- '27.##7.163.57':21810
- '2.##.232.136':21810
- '12#.#8.178.103':21810
- '18#.#31.120.137':21810
- '85.##5.175.13':21810
- '11#.#01.220.248':21810
- '18#.#12.108.60':21810
- '31.#40.18.1':21810
- '11#.#93.101.100':21810
- '18#.#60.37.63':21810
- '18#.#60.48.133':21810
- '93.##2.85.96':21810
- '18#.#4.54.197':21810
- '79.##9.172.74':21810
- '98.##0.167.67':21810
- '21#.#09.8.27':21810
- '19#.#05.154.210':80
- '12#.#.234.102':21810
- '62.##9.124.26':21810
- '19#.#00.123.166':21810
- '88.##2.65.182':21810
- '84.##2.49.157':21810
- '86.##6.114.151':21810
- '18#.#4.4.177':21810
- '18#.#79.36.71':21810
- '95.##7.194.254':21810
- '18#.#4.153.23':21810
- '93.##4.250.36':21810
- '18#.#6.94.75':21810
- '95.##9.205.126':21810
- '18#.#3.210.33':21810
- '82.##0.91.57':21810
- '18#.#.52.163':21810
- '18#.#54.169.32':21810
- '12#.#76.196.110':21810
- '11#.#42.55.173':21810
- '96.##.193.178':21810
- '2.##2.8.173':21810
- '49.##8.101.22':21810
- '11#.#94.205.220':21810
- '11#.#54.216.170':21810
- '11#.#42.77.251':21810
- '17#.#9.59.237':21810
- '24.##2.201.250':21810
- '92.#3.48.36':21810
- '24.##1.103.190':21810
- '10#.#08.100.56':21810
- '98.##2.81.246':21810
- '66.#7.2.3':21810
- '18#.63.0.25':21810
- '11#.#10.251.184':21810
- '77.##.94.113':21810
- '71.##.173.238':21810
- '95.#9.3.31':21810
- '19#.#07.79.120':21810
- '11#.#9.16.230':21810
- '89.##6.177.107':21810
- '19#.#24.139.241':21810
- '87.##0.215.174':21810
- '19#.#05.135.93':21810
- '79.##9.179.84':21810
- '77.##0.5.213':21810
- '21#.#6.13.181':21810
- '14.##.163.41':21810
- '20#.#2.179.145':21810
- '78.##.129.193':21810
- '14.#6.44.57':21810
- '78.##.67.207':21810
- '11#.#25.202.27':21810
- '18#.#95.121.238':21810
- '89.##5.60.10':21810
- '27.##4.44.31':21810
- '11#.#01.28.214':21810
- '75.##.56.113':21810
- '20#.#09.163.115':21810
- '14.##.144.120':21810
- '10#.#10.80.166':21810
- '84.##6.83.143':21810
- '20#.#.64.123':21810
TCP:
Запросы HTTP GET:
- 19#.#05.154.210/bad.php?w=###################################################
- 19#.#05.154.210/stat2.php?w=#################################################
- 19#.#05.154.210/stat2.php?w=################################################
