Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Control Now Extender Profile' = '<SYSTEM32>\sptskmb.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Mapper Link-Layer Transaction Auto Windows] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\zkhyelukrpet.exe' "<SYSTEM32>\sptskmb.exe"
- '%WINDIR%\Temp\ofd0lriv2l4vbj.exe' -r 38220 tcp
- '%TEMP%\ofd0lriv2j0hbjerd89k.exe'
- '<SYSTEM32>\sptskmb.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\vfppewgecde\run
- <SYSTEM32>\vfppewgecde\rng
- <SYSTEM32>\vfppewgecde\cfg
- <SYSTEM32>\vfppewgecde\por
- %WINDIR%\Temp\ofd0lriv2l4vbj.exe
- %TEMP%\ofd0lriv2j0hbjerd89k.exe
- <SYSTEM32>\vfppewgecde\tst
- <SYSTEM32>\vfppewgecde\etc
- <SYSTEM32>\zkhyelukrpet.exe
- <SYSTEM32>\sptskmb.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\zkhyelukrpet.exe
- <SYSTEM32>\sptskmb.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\ofd0lriv2l4vbj.exe
- %TEMP%\ofd0lriv2j0hbjerd89k.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'st###news.net':80
- 'ba###ews.net':80
- 'ba###ark.net':80
- 'ba###roke.net':80
- 'st###mark.net':80
- 'en###state.net':80
- 'en###mark.net':80
- 'li###ark.net':80
- 'li###roke.net':80
- 'li###tate.net':80
- 'en###broke.net':80
- 'st###broke.net':80
- 'wh###broke.net':80
- 'sa###roke.net':80
- 'sa###tate.net':80
- 'so###ews.net':80
- 'wh###state.net':80
- 'wh###mark.net':80
- 'st###state.net':80
- 'ba###tate.net':80
- 'sa###ews.net':80
- 'sa###ark.net':80
- 'wh###news.net':80
- 'en###news.net':80
- 'sh###news.net':80
- 'de###ews.net':80
- 'de###ark.net':80
- 'de###roke.net':80
- 'sh###mark.net':80
- 'pu###tate.net':80
- 'pu###ark.net':80
- 'fr###ymark.net':80
- 'fr###ybroke.net':80
- 'fr###ystate.net':80
- 'pu###roke.net':80
- 'sh###broke.net':80
- 'mo###broke.net':80
- 'ti###roke.net':80
- 'ti###tate.net':80
- 'li###ews.net':80
- 'mo###state.net':80
- 'mo###mark.net':80
- 'sh###state.net':80
- 'de###tate.net':80
- 'ti###ews.net':80
- 'ti###ark.net':80
- 'mo###news.net':80
- 'lo###ews.net':80
- 'mo###grave.net':80
- 'ti###rave.net':80
- 'ti###each.net':80
- 'ti###ould.net':80
- 'mo###teach.net':80
- 'sh###usual.net':80
- 'sh###teach.net':80
- 'de###each.net':80
- 'de###ould.net':80
- 'de###sual.net':80
- 'sh###could.net':80
- 'mo###could.net':80
- 're####eneither.net':80
- 'ge####friend.net':80
- 'mi####lossary.net':80
- 'st###march.net':80
- 'ta###fruit.net':80
- 'gl###health.net':80
- 'th####hcountry.net':80
- 'ti###sual.net':80
- 'li####appear.net':80
- 'ne####arydress.net':80
- 're####erpaint.net':80
- 'sh###grave.net':80
- 'al###grave.net':80
- 'de####ergrave.net':80
- 'de####erteach.net':80
- 'de####ercould.net':80
- 'al###teach.net':80
- 'lo###tate.net':80
- 'lo###ark.net':80
- 'so###ark.net':80
- 'so###roke.net':80
- 'so###tate.net':80
- 'lo###roke.net':80
- 'al###could.net':80
- 'pu###ould.net':80
- 'fr###ycould.net':80
- 'fr###yusual.net':80
- 'de###rave.net':80
- 'pu###sual.net':80
- 'pu###each.net':80
- 'al###usual.net':80
- 'de####erusual.net':80
- 'fr###ygrave.net':80
- 'fr###yteach.net':80
- 'pu###rave.net':80
TCP:
Запросы HTTP GET:
- st###news.net/forum/search.php?me#########################################
- ba###ews.net/forum/search.php?me#########################################
- ba###ark.net/forum/search.php?me#########################################
- ba###roke.net/forum/search.php?me#########################################
- st###mark.net/forum/search.php?me#########################################
- en###state.net/forum/search.php?me#########################################
- en###mark.net/forum/search.php?me#########################################
- li###ark.net/forum/search.php?me#########################################
- li###roke.net/forum/search.php?me#########################################
- li###tate.net/forum/search.php?me#########################################
- en###broke.net/forum/search.php?me#########################################
- st###broke.net/forum/search.php?me#########################################
- wh###broke.net/forum/search.php?me#########################################
- sa###roke.net/forum/search.php?me#########################################
- sa###tate.net/forum/search.php?me#########################################
- so###ews.net/forum/search.php?me#########################################
- wh###state.net/forum/search.php?me#########################################
- wh###mark.net/forum/search.php?me#########################################
- st###state.net/forum/search.php?me#########################################
- ba###tate.net/forum/search.php?me#########################################
- sa###ews.net/forum/search.php?me#########################################
- sa###ark.net/forum/search.php?me#########################################
- wh###news.net/forum/search.php?me#########################################
- en###news.net/forum/search.php?me#########################################
- sh###news.net/forum/search.php?me#########################################
- de###ews.net/forum/search.php?me#########################################
- de###ark.net/forum/search.php?me#########################################
- de###roke.net/forum/search.php?me#########################################
- sh###mark.net/forum/search.php?me#########################################
- pu###tate.net/forum/search.php?me#########################################
- pu###ark.net/forum/search.php?me#########################################
- fr###ymark.net/forum/search.php?me#########################################
- fr###ybroke.net/forum/search.php?me#########################################
- fr###ystate.net/forum/search.php?me#########################################
- pu###roke.net/forum/search.php?me#########################################
- sh###broke.net/forum/search.php?me#########################################
- mo###broke.net/forum/search.php?me#########################################
- ti###roke.net/forum/search.php?me#########################################
- ti###tate.net/forum/search.php?me#########################################
- li###ews.net/forum/search.php?me#########################################
- mo###state.net/forum/search.php?me#########################################
- mo###mark.net/forum/search.php?me#########################################
- sh###state.net/forum/search.php?me#########################################
- de###tate.net/forum/search.php?me#########################################
- ti###ews.net/forum/search.php?me#########################################
- ti###ark.net/forum/search.php?me#########################################
- mo###news.net/forum/search.php?me#########################################
- lo###ews.net/forum/search.php?me#########################################
- mo###grave.net/forum/search.php?me#########################################
- ti###rave.net/forum/search.php?me#########################################
- ti###each.net/forum/search.php?me#########################################
- ti###ould.net/forum/search.php?me#########################################
- mo###teach.net/forum/search.php?me#########################################
- sh###usual.net/forum/search.php?me#########################################
- sh###teach.net/forum/search.php?me#########################################
- de###each.net/forum/search.php?me#########################################
- de###ould.net/forum/search.php?me#########################################
- de###sual.net/forum/search.php?me#########################################
- sh###could.net/forum/search.php?me#########################################
- mo###could.net/forum/search.php?me#########################################
- re####eneither.net/forum/search.php?me#########################################
- ge####friend.net/forum/search.php?me#########################################
- mi####lossary.net/forum/search.php?me#########################################
- st###march.net/forum/search.php?me#########################################
- ta###fruit.net/forum/search.php?me#########################################
- gl###health.net/forum/search.php?me#########################################
- th####hcountry.net/forum/search.php?me#########################################
- ti###sual.net/forum/search.php?me#########################################
- li####appear.net/forum/search.php?me#########################################
- ne####arydress.net/forum/search.php?me#########################################
- re####erpaint.net/forum/search.php?me#########################################
- sh###grave.net/forum/search.php?me#########################################
- al###grave.net/forum/search.php?me#########################################
- de####ergrave.net/forum/search.php?me#########################################
- de####erteach.net/forum/search.php?me#########################################
- de####ercould.net/forum/search.php?me#########################################
- al###teach.net/forum/search.php?me#########################################
- lo###tate.net/forum/search.php?me#########################################
- lo###ark.net/forum/search.php?me#########################################
- so###ark.net/forum/search.php?me#########################################
- so###roke.net/forum/search.php?me#########################################
- so###tate.net/forum/search.php?me#########################################
- lo###roke.net/forum/search.php?me#########################################
- al###could.net/forum/search.php?me#########################################
- pu###ould.net/forum/search.php?me#########################################
- fr###ycould.net/forum/search.php?me#########################################
- fr###yusual.net/forum/search.php?me#########################################
- de###rave.net/forum/search.php?me#########################################
- pu###sual.net/forum/search.php?me#########################################
- pu###each.net/forum/search.php?me#########################################
- al###usual.net/forum/search.php?me#########################################
- de####erusual.net/forum/search.php?me#########################################
- fr###ygrave.net/forum/search.php?me#########################################
- fr###yteach.net/forum/search.php?me#########################################
- pu###rave.net/forum/search.php?me#########################################
UDP:
- DNS ASK ba###ark.net
- DNS ASK st###news.net
- DNS ASK ba###ews.net
- DNS ASK st###broke.net
- DNS ASK ba###roke.net
- DNS ASK st###mark.net
- DNS ASK li###roke.net
- DNS ASK en###mark.net
- DNS ASK li###ark.net
- DNS ASK en###state.net
- DNS ASK li###tate.net
- DNS ASK en###broke.net
- DNS ASK sa###tate.net
- DNS ASK wh###broke.net
- DNS ASK sa###roke.net
- DNS ASK lo###ews.net
- DNS ASK so###ews.net
- DNS ASK wh###state.net
- DNS ASK sa###ews.net
- DNS ASK st###state.net
- DNS ASK ba###tate.net
- DNS ASK wh###mark.net
- DNS ASK sa###ark.net
- DNS ASK wh###news.net
- DNS ASK de###ark.net
- DNS ASK sh###news.net
- DNS ASK de###ews.net
- DNS ASK sh###broke.net
- DNS ASK de###roke.net
- DNS ASK sh###mark.net
- DNS ASK fr###ybroke.net
- DNS ASK pu###ark.net
- DNS ASK fr###ymark.net
- DNS ASK pu###tate.net
- DNS ASK fr###ystate.net
- DNS ASK pu###roke.net
- DNS ASK ti###tate.net
- DNS ASK mo###broke.net
- DNS ASK ti###roke.net
- DNS ASK en###news.net
- DNS ASK li###ews.net
- DNS ASK mo###state.net
- DNS ASK ti###ews.net
- DNS ASK sh###state.net
- DNS ASK de###tate.net
- DNS ASK mo###mark.net
- DNS ASK ti###ark.net
- DNS ASK mo###news.net
- DNS ASK mo###grave.net
- DNS ASK ti###rave.net
- DNS ASK ti###each.net
- DNS ASK ti###ould.net
- DNS ASK mo###teach.net
- DNS ASK sh###usual.net
- DNS ASK sh###teach.net
- DNS ASK de###each.net
- DNS ASK de###ould.net
- DNS ASK de###sual.net
- DNS ASK sh###could.net
- DNS ASK mo###could.net
- DNS ASK re####eneither.net
- DNS ASK ge####friend.net
- DNS ASK mi####lossary.net
- DNS ASK st###march.net
- DNS ASK ta###fruit.net
- DNS ASK gl###health.net
- DNS ASK th####hcountry.net
- DNS ASK ti###sual.net
- DNS ASK li####appear.net
- DNS ASK ne####arydress.net
- DNS ASK re####erpaint.net
- DNS ASK sh###grave.net
- DNS ASK al###grave.net
- DNS ASK de####ergrave.net
- DNS ASK de####erteach.net
- DNS ASK de####ercould.net
- DNS ASK al###teach.net
- DNS ASK lo###tate.net
- DNS ASK lo###ark.net
- DNS ASK so###ark.net
- DNS ASK so###roke.net
- DNS ASK so###tate.net
- DNS ASK lo###roke.net
- DNS ASK al###could.net
- DNS ASK pu###ould.net
- DNS ASK fr###ycould.net
- DNS ASK fr###yusual.net
- DNS ASK de###rave.net
- DNS ASK pu###sual.net
- DNS ASK pu###each.net
- DNS ASK al###usual.net
- DNS ASK de####erusual.net
- DNS ASK fr###ygrave.net
- DNS ASK fr###yteach.net
- DNS ASK pu###rave.net
- '23#.#55.255.250':1900
