Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Framework DCOM Awareness Color' = '<SYSTEM32>\azctkwsn.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\azctkwsn.exe
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\HomeGroup Net.Tcp Routing NetBIOS ActiveX TPM] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\oswmbhnusglt.exe' "<SYSTEM32>\azctkwsn.exe"
- '%WINDIR%\Temp\q2ocgc3ic6txcng.exe' -r 46059 tcp
- '%TEMP%\q2ocgc3er9txcnmrl6tw.exe'
- '<SYSTEM32>\azctkwsn.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\xdhkssokodckqes\run
- <SYSTEM32>\xdhkssokodckqes\rng
- <SYSTEM32>\xdhkssokodckqes\cfg
- <SYSTEM32>\xdhkssokodckqes\por
- %WINDIR%\Temp\q2ocgc3ic6txcng.exe
- %TEMP%\q2ocgc3er9txcnmrl6tw.exe
- <SYSTEM32>\xdhkssokodckqes\tst
- <SYSTEM32>\xdhkssokodckqes\etc
- <SYSTEM32>\oswmbhnusglt.exe
- <SYSTEM32>\azctkwsn.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\oswmbhnusglt.exe
- <SYSTEM32>\azctkwsn.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\q2ocgc3ic6txcng.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'al###body.net':80
- 'de####erdance.net':80
- 'de####erbody.net':80
- 'de####ertell.net':80
- 'al###tell.net':80
- 'al###dance.net':80
- 'pu###ell.net':80
- 'fr###ybody.net':80
- 'fr###ytell.net':80
- 'de####erdare.net':80
- 'al###dare.net':80
- 'so###nly.net':80
- 'lo###nly.net':80
- 'wh###feel.net':80
- 'wh###high.net':80
- 'sa###eel.net':80
- 'so###olor.net':80
- 'so###eel.net':80
- 'lo###eel.net':80
- 'lo###igh.net':80
- 'lo###olor.net':80
- 'so###igh.net':80
- 'mo###tell.net':80
- 'ti###ody.net':80
- 'ti###ell.net':80
- 'de###are.net':80
- 'sh###dare.net':80
- 'ja###uter.com':80
- 'sp###aguga.com':80
- 'ga########all-talk-community.com':80
- 'do####club-grup.com':80
- 'go#####everytime.com':80
- 'el#####arimagine.com':80
- 'fr###ydare.net':80
- 'pu###are.net':80
- 'pu###ance.net':80
- 'pu###ody.net':80
- 'fr###ydance.net':80
- 'de###ell.net':80
- 'de###ance.net':80
- 'sh###dance.net':80
- 'sh###body.net':80
- 'sh###tell.net':80
- 'de###ody.net':80
TCP:
Запросы HTTP GET:
- al###body.net/forum/search.php?me############################################
- de####erdance.net/forum/search.php?me############################################
- de####erbody.net/forum/search.php?me############################################
- de####ertell.net/forum/search.php?me############################################
- al###tell.net/forum/search.php?me############################################
- al###dance.net/forum/search.php?me############################################
- pu###ell.net/forum/search.php?me############################################
- fr###ybody.net/forum/search.php?me############################################
- fr###ytell.net/forum/search.php?me############################################
- de####erdare.net/forum/search.php?me############################################
- al###dare.net/forum/search.php?me############################################
- so###nly.net/forum/search.php?me############################################
- lo###nly.net/forum/search.php?me############################################
- wh###feel.net/forum/search.php?me############################################
- wh###high.net/forum/search.php?me############################################
- sa###eel.net/forum/search.php?me############################################
- so###olor.net/forum/search.php?me############################################
- so###eel.net/forum/search.php?me############################################
- lo###eel.net/forum/search.php?me############################################
- lo###igh.net/forum/search.php?me############################################
- lo###olor.net/forum/search.php?me############################################
- so###igh.net/forum/search.php?me############################################
- mo###tell.net/forum/search.php?me############################################
- ti###ody.net/forum/search.php?me############################################
- ti###ell.net/forum/search.php?me############################################
- de###are.net/forum/search.php?me############################################
- sh###dare.net/forum/search.php?me############################################
- ja###uter.com/forum/search.php?me############################################
- sp###aguga.com/forum/search.php?me############################################
- ga########all-talk-community.com/forum/search.php?me############################################
- do####club-grup.com/forum/search.php?me############################################
- go#####everytime.com/forum/search.php?me############################################
- el#####arimagine.com/forum/search.php?me############################################
- fr###ydare.net/forum/search.php?me############################################
- pu###are.net/forum/search.php?me############################################
- pu###ance.net/forum/search.php?me############################################
- pu###ody.net/forum/search.php?me############################################
- fr###ydance.net/forum/search.php?me############################################
- de###ell.net/forum/search.php?me############################################
- de###ance.net/forum/search.php?me############################################
- sh###dance.net/forum/search.php?me############################################
- sh###body.net/forum/search.php?me############################################
- sh###tell.net/forum/search.php?me############################################
- de###ody.net/forum/search.php?me############################################
UDP:
- DNS ASK al###body.net
- DNS ASK de####erdance.net
- DNS ASK de####erbody.net
- DNS ASK de####ertell.net
- DNS ASK al###tell.net
- DNS ASK al###dance.net
- DNS ASK pu###ell.net
- DNS ASK fr###ybody.net
- DNS ASK fr###ytell.net
- DNS ASK de####erdare.net
- DNS ASK al###dare.net
- DNS ASK lo###eel.net
- DNS ASK wh###feel.net
- DNS ASK so###nly.net
- DNS ASK sa###eel.net
- DNS ASK sa###igh.net
- DNS ASK wh###high.net
- DNS ASK lo###nly.net
- DNS ASK lo###igh.net
- DNS ASK so###eel.net
- DNS ASK so###igh.net
- DNS ASK so###olor.net
- DNS ASK lo###olor.net
- DNS ASK mo###tell.net
- DNS ASK ti###ody.net
- DNS ASK ti###ell.net
- DNS ASK de###are.net
- DNS ASK sh###dare.net
- DNS ASK ja###uter.com
- DNS ASK sp###aguga.com
- DNS ASK ga########all-talk-community.com
- DNS ASK do####club-grup.com
- DNS ASK go#####everytime.com
- DNS ASK el#####arimagine.com
- DNS ASK fr###ydare.net
- DNS ASK pu###are.net
- DNS ASK pu###ance.net
- DNS ASK pu###ody.net
- DNS ASK fr###ydance.net
- DNS ASK de###ell.net
- DNS ASK de###ance.net
- DNS ASK sh###dance.net
- DNS ASK sh###body.net
- DNS ASK sh###tell.net
- DNS ASK de###ody.net
- '23#.#55.255.250':1900
