Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Counter Agent Tools BranchCache PnP-X' = '<SYSTEM32>\tkbihgwyuo.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Service Modules Panel Computer Internet] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\thtlffbb.exe' "<SYSTEM32>\tkbihgwyuo.exe"
- '%WINDIR%\Temp\qwdmcagl40ybs9.exe' -r 46472 tcp
- '%TEMP%\qwdmcagl3wlms9gvxhaoey.exe'
- '<SYSTEM32>\tkbihgwyuo.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\txjjottvfvbydv\run
- <SYSTEM32>\txjjottvfvbydv\rng
- %WINDIR%\Temp\qwdmcagl40ybs9.exe
- <SYSTEM32>\txjjottvfvbydv\cfg
- <SYSTEM32>\thtlffbb.exe
- %TEMP%\qwdmcagl3wlms9gvxhaoey.exe
- <SYSTEM32>\txjjottvfvbydv\tst
- <SYSTEM32>\tkbihgwyuo.exe
- <SYSTEM32>\txjjottvfvbydv\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\thtlffbb.exe
- <SYSTEM32>\tkbihgwyuo.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\qwdmcagl40ybs9.exe
- <DRIVERS>\etc\hosts
- %TEMP%\qwdmcagl3wlms9gvxhaoey.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'wi###ouse.net':80
- 'tr###peace.net':80
- 'mi###eace.net':80
- 'du###ift.net':80
- 'wi###ift.net':80
- 'du###ouse.net':80
- 'mi###ift.net':80
- 'tr###house.net':80
- 'mi###ouse.net':80
- 'tr####uesday.net':80
- 'mi###uesday.net':80
- 'tr###gift.net':80
- 'wi###uesday.net':80
- 'si####uesday.net':80
- 'th####uesday.net':80
- 'si###gift.net':80
- 'ca###ouse.net':80
- 'si###peace.net':80
- 'th###peace.net':80
- 'du###eace.net':80
- 'wi###eace.net':80
- 'du###uesday.net':80
- 'th###gift.net':80
- 'si###house.net':80
- 'th###house.net':80
- 'da###erve.net':80
- 'su###yserve.net':80
- 'mo###ive.net':80
- 'la###onea.com':80
- 'si###ello.net':80
- 'me###ello.net':80
- 'mo###erve.net':80
- 'ju###ray.net':80
- 'fr###secas.com':80
- 'ka####ndertu.com':80
- 'da###ekilai.com':80
- 'ta###fruit.net':80
- 'st###march.net':80
- 'me###ine.net':80
- 'da###ine.net':80
- 'cl###mine.net':80
- 'da###ello.net':80
- 'cl###serve.net':80
- 'da###ive.net':80
- 'cl###live.net':80
- 'si###ive.net':80
- 'me###ive.net':80
- 'si###ine.net':80
- 'cl###hello.net':80
- 'si###erve.net':80
- 'me###erve.net':80
TCP:
Запросы HTTP GET:
- wi###ouse.net/forum/search.php?me#########################################
- tr###peace.net/forum/search.php?me#########################################
- mi###eace.net/forum/search.php?me#########################################
- du###ift.net/forum/search.php?me#########################################
- wi###ift.net/forum/search.php?me#########################################
- du###ouse.net/forum/search.php?me#########################################
- mi###ift.net/forum/search.php?me#########################################
- tr###house.net/forum/search.php?me#########################################
- mi###ouse.net/forum/search.php?me#########################################
- tr####uesday.net/forum/search.php?me#########################################
- mi###uesday.net/forum/search.php?me#########################################
- tr###gift.net/forum/search.php?me#########################################
- wi###uesday.net/forum/search.php?me#########################################
- si####uesday.net/forum/search.php?me#########################################
- th####uesday.net/forum/search.php?me#########################################
- si###gift.net/forum/search.php?me#########################################
- ca###ouse.net/forum/search.php?me#########################################
- si###peace.net/forum/search.php?me#########################################
- th###peace.net/forum/search.php?me#########################################
- du###eace.net/forum/search.php?me#########################################
- wi###eace.net/forum/search.php?me#########################################
- du###uesday.net/forum/search.php?me#########################################
- th###gift.net/forum/search.php?me#########################################
- si###house.net/forum/search.php?me#########################################
- th###house.net/forum/search.php?me#########################################
- da###erve.net/forum/search.php?me#########################################
- su###yserve.net/forum/search.php?me#########################################
- mo###ive.net/forum/search.php?me#########################################
- la###onea.com/forum/search.php?me#########################################
- si###ello.net/forum/search.php?me#########################################
- me###ello.net/forum/search.php?me#########################################
- mo###erve.net/forum/search.php?me#########################################
- ju###ray.net/forum/search.php?me#########################################
- fr###secas.com/forum/search.php?me#########################################
- ka####ndertu.com/forum/search.php?me#########################################
- da###ekilai.com/forum/search.php?me#########################################
- ta###fruit.net/forum/search.php?me#########################################
- st###march.net/forum/search.php?me#########################################
- me###ine.net/forum/search.php?me#########################################
- da###ine.net/forum/search.php?me#########################################
- cl###mine.net/forum/search.php?me#########################################
- da###ello.net/forum/search.php?me#########################################
- cl###serve.net/forum/search.php?me#########################################
- da###ive.net/forum/search.php?me#########################################
- cl###live.net/forum/search.php?me#########################################
- si###ive.net/forum/search.php?me#########################################
- me###ive.net/forum/search.php?me#########################################
- si###ine.net/forum/search.php?me#########################################
- cl###hello.net/forum/search.php?me#########################################
- si###erve.net/forum/search.php?me#########################################
- me###erve.net/forum/search.php?me#########################################
UDP:
- DNS ASK wi###ouse.net
- DNS ASK tr###peace.net
- DNS ASK mi###eace.net
- DNS ASK du###ift.net
- DNS ASK wi###ift.net
- DNS ASK du###ouse.net
- DNS ASK tr####uesday.net
- DNS ASK tr###house.net
- DNS ASK mi###ouse.net
- DNS ASK he###ouse.net
- DNS ASK mi###uesday.net
- DNS ASK tr###gift.net
- DNS ASK mi###ift.net
- DNS ASK si####uesday.net
- DNS ASK th####uesday.net
- DNS ASK si###gift.net
- DNS ASK ca###ouse.net
- DNS ASK si###peace.net
- DNS ASK th###peace.net
- DNS ASK th###gift.net
- DNS ASK wi###eace.net
- DNS ASK du###uesday.net
- DNS ASK wi###uesday.net
- DNS ASK si###house.net
- DNS ASK th###house.net
- DNS ASK du###eace.net
- DNS ASK su###yserve.net
- DNS ASK mo###ive.net
- DNS ASK la###onea.com
- DNS ASK si###ello.net
- DNS ASK me###ello.net
- DNS ASK mo###erve.net
- DNS ASK da###ekilai.com
- DNS ASK fr###secas.com
- DNS ASK ka####ndertu.com
- DNS ASK da###erve.net
- DNS ASK ta###fruit.net
- DNS ASK st###march.net
- DNS ASK ju###ray.net
- DNS ASK da###ine.net
- DNS ASK cl###mine.net
- DNS ASK da###ello.net
- DNS ASK cl###serve.net
- DNS ASK da###ive.net
- DNS ASK cl###live.net
- DNS ASK cl###hello.net
- DNS ASK me###ive.net
- DNS ASK si###ine.net
- DNS ASK me###ine.net
- DNS ASK si###erve.net
- DNS ASK me###erve.net
- DNS ASK si###ive.net
- '23#.#55.255.250':1900
