Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Link Portable Presentation' = '<SYSTEM32>\tgeewtfawg.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Browser Human Firewall Adaptive Network] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\nypgxkd.exe' "<SYSTEM32>\tgeewtfawg.exe"
- '%WINDIR%\Temp\hsx3nr4l491jrdwf.exe' -r 25045 tcp
- '%TEMP%\hsx3nr4l40xvrdwffmtnsx.exe'
- '<SYSTEM32>\tgeewtfawg.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\ojvmjcxljacru\run
- <SYSTEM32>\ojvmjcxljacru\rng
- %WINDIR%\Temp\hsx3nr4l491jrdwf.exe
- <SYSTEM32>\ojvmjcxljacru\cfg
- <SYSTEM32>\nypgxkd.exe
- %TEMP%\hsx3nr4l40xvrdwffmtnsx.exe
- <SYSTEM32>\ojvmjcxljacru\tst
- <SYSTEM32>\tgeewtfawg.exe
- <SYSTEM32>\ojvmjcxljacru\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\nypgxkd.exe
- <SYSTEM32>\tgeewtfawg.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\hsx3nr4l491jrdwf.exe
- <DRIVERS>\etc\hosts
- %TEMP%\hsx3nr4l40xvrdwffmtnsx.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'ro###ver.net':80
- 'si###ver.net':80
- 'ro###ome.net':80
- 'si###ome.net':80
- 'ro###old.net':80
- 'si###old.net':80
- 'ro###rain.net':80
- 'si###rain.net':80
- 'pi###ver.net':80
- 'so###ver.net':80
- 'pi###ome.net':80
- 'so###ome.net':80
- 'pi###old.net':80
- 'so###old.net':80
- 'pi###rain.net':80
- 'so###rain.net':80
- 'hi###ver.net':80
- 'wh###ver.net':80
- 'hi###ome.net':80
- 'wh###ome.net':80
- 'hi###old.net':80
- 'wh###old.net':80
- 'hi###rain.net':80
- 'wh###rain.net':80
- 'mo###ver.net':80
- 'ju###ver.net':80
- 'mo###ome.net':80
- 'ju###ome.net':80
- 'mo###old.net':80
- 'ju###old.net':80
- 'mo###rain.net':80
- 'ju###rain.net':80
- 'ab###old.net':80
- 'up###oud.net':80
- 'wr###threw.net':80
- 'fr###ride.net':80
- 'sp###marry.net':80
- 'lo###uesday.net':80
- 'th###peace.net':80
- 'ji###lasker.com':80
- 'th####uesday.net':80
- 'ge####friend.net':80
- 'gl###health.net':80
- 'ta###fruit.net':80
- 'mi####lossary.net':80
- 'li####appear.net':80
- 'th####hcountry.net':80
- 'ne####arydress.net':80
- 're####erpaint.net':80
- 'ab###ome.net':80
- 'kn###ver.net':80
- 'wi###eace.net':80
- 'kn###ome.net':80
- 'ab###rain.net':80
- 'kn###old.net':80
- 'ab###ver.net':80
- 'kn###rain.net':80
- 'wi###ouse.net':80
- 'dr###gift.net':80
- 'lo###eace.net':80
- 'dr###house.net':80
- 'wi###uesday.net':80
- 'dr###peace.net':80
- 'wi###ift.net':80
- 'dr####uesday.net':80
TCP:
Запросы HTTP GET:
- ro###ver.net/index.php?me#########################################
- si###ver.net/index.php?me#########################################
- ro###ome.net/index.php?me#########################################
- si###ome.net/index.php?me#########################################
- ro###old.net/index.php?me#########################################
- si###old.net/index.php?me#########################################
- ro###rain.net/index.php?me#########################################
- si###rain.net/index.php?me#########################################
- pi###ver.net/index.php?me#########################################
- so###ver.net/index.php?me#########################################
- pi###ome.net/index.php?me#########################################
- so###ome.net/index.php?me#########################################
- pi###old.net/index.php?me#########################################
- so###old.net/index.php?me#########################################
- pi###rain.net/index.php?me#########################################
- so###rain.net/index.php?me#########################################
- hi###ver.net/index.php?me#########################################
- wh###ver.net/index.php?me#########################################
- hi###ome.net/index.php?me#########################################
- wh###ome.net/index.php?me#########################################
- hi###old.net/index.php?me#########################################
- wh###old.net/index.php?me#########################################
- hi###rain.net/index.php?me#########################################
- wh###rain.net/index.php?me#########################################
- mo###ver.net/index.php?me#########################################
- ju###ver.net/index.php?me#########################################
- mo###ome.net/index.php?me#########################################
- ju###ome.net/index.php?me#########################################
- mo###old.net/index.php?me#########################################
- ju###old.net/index.php?me#########################################
- mo###rain.net/index.php?me#########################################
- ju###rain.net/index.php?me#########################################
- ab###old.net/index.php?me#########################################
- up###oud.net/index.php?me#########################################
- wr###threw.net/index.php?me#########################################
- fr###ride.net/index.php?me#########################################
- sp###marry.net/index.php?me#########################################
- lo###uesday.net/index.php?me#########################################
- th###peace.net/index.php?me#########################################
- ji###lasker.com/index.php?me#########################################
- th####uesday.net/index.php?me#########################################
- ge####friend.net/index.php?me#########################################
- gl###health.net/index.php?me#########################################
- ta###fruit.net/index.php?me#########################################
- mi####lossary.net/index.php?me#########################################
- li####appear.net/index.php?me#########################################
- th####hcountry.net/index.php?me#########################################
- ne####arydress.net/index.php?me#########################################
- re####erpaint.net/index.php?me#########################################
- ab###ome.net/index.php?me#########################################
- kn###ver.net/index.php?me#########################################
- wi###eace.net/index.php?me#########################################
- kn###ome.net/index.php?me#########################################
- ab###rain.net/index.php?me#########################################
- kn###old.net/index.php?me#########################################
- ab###ver.net/index.php?me#########################################
- kn###rain.net/index.php?me#########################################
- wi###ouse.net/index.php?me#########################################
- dr###gift.net/index.php?me#########################################
- lo###eace.net/index.php?me#########################################
- dr###house.net/index.php?me#########################################
- wi###uesday.net/index.php?me#########################################
- dr###peace.net/index.php?me#########################################
- wi###ift.net/index.php?me#########################################
- dr####uesday.net/index.php?me#########################################
UDP:
- DNS ASK si###ome.net
- DNS ASK ro###ver.net
- DNS ASK so###old.net
- DNS ASK ro###ome.net
- DNS ASK si###rain.net
- DNS ASK ro###old.net
- DNS ASK si###ver.net
- DNS ASK ro###rain.net
- DNS ASK so###ome.net
- DNS ASK pi###ver.net
- DNS ASK ab###old.net
- DNS ASK pi###ome.net
- DNS ASK so###rain.net
- DNS ASK pi###old.net
- DNS ASK so###ver.net
- DNS ASK pi###rain.net
- DNS ASK si###old.net
- DNS ASK hi###ver.net
- DNS ASK wh###ver.net
- DNS ASK hi###ome.net
- DNS ASK wh###ome.net
- DNS ASK hi###old.net
- DNS ASK wh###old.net
- DNS ASK hi###rain.net
- DNS ASK wh###rain.net
- DNS ASK mo###ver.net
- DNS ASK ju###ver.net
- DNS ASK mo###ome.net
- DNS ASK ju###ome.net
- DNS ASK mo###old.net
- DNS ASK ju###old.net
- DNS ASK mo###rain.net
- DNS ASK ju###rain.net
- DNS ASK up###oud.net
- DNS ASK wr###threw.net
- DNS ASK fr###ride.net
- DNS ASK sp###marry.net
- DNS ASK lo###uesday.net
- DNS ASK th###peace.net
- DNS ASK ji###lasker.com
- DNS ASK th####uesday.net
- DNS ASK ge####friend.net
- DNS ASK gl###health.net
- DNS ASK ta###fruit.net
- DNS ASK mi####lossary.net
- DNS ASK li####appear.net
- DNS ASK th####hcountry.net
- DNS ASK ne####arydress.net
- DNS ASK re####erpaint.net
- DNS ASK ab###ome.net
- DNS ASK kn###ver.net
- DNS ASK wi###eace.net
- DNS ASK kn###ome.net
- DNS ASK ab###rain.net
- DNS ASK kn###old.net
- DNS ASK ab###ver.net
- DNS ASK kn###rain.net
- DNS ASK wi###ouse.net
- DNS ASK dr###gift.net
- DNS ASK lo###eace.net
- DNS ASK dr###house.net
- DNS ASK wi###uesday.net
- DNS ASK dr###peace.net
- DNS ASK wi###ift.net
- DNS ASK dr####uesday.net
- '23#.#55.255.250':1900
