Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000001] 'LibraryPath' = 'mswsock.dll'
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\000000000003] 'LibraryPath' = 'mswsock.dll'
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000006] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000007] 'PackedCatalogItem' = ''
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008] 'PackedCatalogItem' = ''
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\.afd] 'ImagePath' = '\?'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\winlogon.exe
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\$NtUninstallKB27979$\4121336045\@
- %WINDIR%\$NtUninstallKB27979$\4121336045\L\alehhooo
- %WINDIR%\$NtUninstallKB27979$\4121336045\Desktop.ini
Самоудаляется.
Сетевая активность:
Подключается к:
- 'j.###mind.com':80
- 'localhost':80
TCP:
Запросы HTTP GET:
- le#####eecounters.com/5699002-2F6F334BF9ACF1B2401D3874A5B0C048/counter.img?th################################
- le#####eecounters.com/5699002-2F6F334BF9ACF1B2401D3874A5B0C048/counter.img?th###############################
- j.###mind.com/app/geoip.js
UDP:
- DNS ASK ޡc#ʾY
- DNS ASK ޡc#[��
- DNS ASK ޡc#<<y
- DNS ASK ޡc#�/
- DNS ASK ޡc#2G�
- DNS ASK ޡc#~vp
- DNS ASK ޡc#k�
- DNS ASK ޡc#��b
- DNS ASK j.###mind.com
- DNS ASK ޡc#T
- DNS ASK ޡc#��
- DNS ASK ޡc#��P
- '79.##9.135.179':16471
- '24.##.34.172':16471
- '86.##.157.64':16471
- '85.##3.104.239':16471
- '46.##4.186.171':16471
- '71.##8.168.45':16471
- '68.##2.184.157':16471
- '75.##9.17.42':16471
- '18#.#2.156.43':16471
- '89.##4.101.193':16471
- '72.##8.187.30':16471
- '76.#18.7.25':16471
- '24.##1.206.193':16471
- '18#.#3.84.230':16471
- '18#.#5.90.187':16471
- '13#.#25.236.235':16471
- '77.##5.126.231':16471
- '24.##7.192.188':16471
- '31.##3.33.254':16471
- '95.##4.45.101':16471
- '72.##8.57.98':16471
- '18#.#88.228.104':16471
- '74.##.99.103':16471
- '76.##7.151.89':16471
- '24.##1.60.76':16471
- '79.##3.248.75':16471
- '37.##8.34.77':16471
- '10#.#18.125.76':16471
- '17#.#38.165.157':16471
- '17#.#.90.154':16471
- '76.##4.138.254':16471
- '98.##2.145.254':16471
- '74.##2.149.151':16471
- '24.##5.116.130':16471
- '85.##7.191.119':16471
- '98.##5.235.144':16471
- '67.##5.250.141':16471
Другое:
Ищет следующие окна:
- ClassName: 'tryuhgfdhgfdhjfghgf' WindowName: 'ghfygjiuytutr'
