Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'DLL Media Host List Tablet Trap Telephony' = '<SYSTEM32>\tahhrfplvga.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\tahhrfplvga.exe
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Encryption Plug Connection Power] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\heiapgmqoino.exe' "<SYSTEM32>\tahhrfplvga.exe"
- '%WINDIR%\Temp\jregxc054lvsigpz.exe' -r 30485 tcp
- '%TEMP%\jregxc054b47igpktmzvgpr.exe'
- '<SYSTEM32>\tahhrfplvga.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\eslcfrsp\run
- <SYSTEM32>\eslcfrsp\rng
- %WINDIR%\Temp\jregxc054lvsigpz.exe
- <SYSTEM32>\eslcfrsp\cfg
- <SYSTEM32>\heiapgmqoino.exe
- %TEMP%\jregxc054b47igpktmzvgpr.exe
- <SYSTEM32>\eslcfrsp\tst
- <SYSTEM32>\tahhrfplvga.exe
- <SYSTEM32>\eslcfrsp\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\heiapgmqoino.exe
- <SYSTEM32>\tahhrfplvga.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\jregxc054lvsigpz.exe
- <DRIVERS>\etc\hosts
- %TEMP%\jregxc054b47igpktmzvgpr.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'mi###nly.net':80
- 'tr###color.net':80
- 'mi###olor.net':80
- 'du###eel.net':80
- 'wi###eel.net':80
- 'tr###only.net':80
- 'mi###eel.net':80
- 'da###ell.net':80
- 'cl###tell.net':80
- 'tr###high.net':80
- 'mi###igh.net':80
- 'tr###feel.net':80
- 'wi###igh.net':80
- 'si###high.net':80
- 'th###high.net':80
- 'si###feel.net':80
- 'th###only.net':80
- 'si###color.net':80
- 'th###color.net':80
- 'du###olor.net':80
- 'wi###olor.net':80
- 'du###igh.net':80
- 'th###feel.net':80
- 'du###nly.net':80
- 'wi###nly.net':80
- 'mo###ody.net':80
- 'su###ybody.net':80
- 'mo###ance.net':80
- 'me###are.net':80
- 'mo###ell.net':80
- 'su###ytell.net':80
- 'ja###uter.com':80
- 'el#####arimagine.com':80
- 'do####club-grup.com':80
- 'su###ydance.net':80
- 'mo###are.net':80
- 'go#####everytime.com':80
- 'si###are.net':80
- 'cl###dance.net':80
- 'da###are.net':80
- 'cl###dare.net':80
- 'da###ody.net':80
- 'cl###body.net':80
- 'da###ance.net':80
- 'me###ody.net':80
- 'si###ance.net':80
- 'me###ance.net':80
- 'si###ell.net':80
- 'me###ell.net':80
- 'si###ody.net':80
TCP:
Запросы HTTP GET:
- mi###nly.net/forum/search.php?me#########################################
- tr###color.net/forum/search.php?me#########################################
- mi###olor.net/forum/search.php?me#########################################
- du###eel.net/forum/search.php?me#########################################
- wi###eel.net/forum/search.php?me#########################################
- tr###only.net/forum/search.php?me#########################################
- mi###eel.net/forum/search.php?me#########################################
- da###ell.net/forum/search.php?me#########################################
- cl###tell.net/forum/search.php?me#########################################
- tr###high.net/forum/search.php?me#########################################
- mi###igh.net/forum/search.php?me#########################################
- tr###feel.net/forum/search.php?me#########################################
- wi###igh.net/forum/search.php?me#########################################
- si###high.net/forum/search.php?me#########################################
- th###high.net/forum/search.php?me#########################################
- si###feel.net/forum/search.php?me#########################################
- th###only.net/forum/search.php?me#########################################
- si###color.net/forum/search.php?me#########################################
- th###color.net/forum/search.php?me#########################################
- du###olor.net/forum/search.php?me#########################################
- wi###olor.net/forum/search.php?me#########################################
- du###igh.net/forum/search.php?me#########################################
- th###feel.net/forum/search.php?me#########################################
- du###nly.net/forum/search.php?me#########################################
- wi###nly.net/forum/search.php?me#########################################
- mo###ody.net/forum/search.php?me#########################################
- su###ybody.net/forum/search.php?me#########################################
- mo###ance.net/forum/search.php?me#########################################
- me###are.net/forum/search.php?me#########################################
- mo###ell.net/forum/search.php?me#########################################
- su###ytell.net/forum/search.php?me#########################################
- ja###uter.com/forum/search.php?me#########################################
- el#####arimagine.com/forum/search.php?me#########################################
- do####club-grup.com/forum/search.php?me#########################################
- su###ydance.net/forum/search.php?me#########################################
- mo###are.net/forum/search.php?me#########################################
- go#####everytime.com/forum/search.php?me#########################################
- si###are.net/forum/search.php?me#########################################
- cl###dance.net/forum/search.php?me#########################################
- da###are.net/forum/search.php?me#########################################
- cl###dare.net/forum/search.php?me#########################################
- da###ody.net/forum/search.php?me#########################################
- cl###body.net/forum/search.php?me#########################################
- da###ance.net/forum/search.php?me#########################################
- me###ody.net/forum/search.php?me#########################################
- si###ance.net/forum/search.php?me#########################################
- me###ance.net/forum/search.php?me#########################################
- si###ell.net/forum/search.php?me#########################################
- me###ell.net/forum/search.php?me#########################################
- si###ody.net/forum/search.php?me#########################################
UDP:
- DNS ASK mi###nly.net
- DNS ASK tr###color.net
- DNS ASK mi###olor.net
- DNS ASK du###eel.net
- DNS ASK wi###eel.net
- DNS ASK tr###only.net
- DNS ASK mi###eel.net
- DNS ASK da###ell.net
- DNS ASK cl###tell.net
- DNS ASK tr###high.net
- DNS ASK mi###igh.net
- DNS ASK tr###feel.net
- DNS ASK wi###igh.net
- DNS ASK si###high.net
- DNS ASK th###high.net
- DNS ASK si###feel.net
- DNS ASK th###only.net
- DNS ASK si###color.net
- DNS ASK th###color.net
- DNS ASK du###olor.net
- DNS ASK wi###olor.net
- DNS ASK du###igh.net
- DNS ASK th###feel.net
- DNS ASK du###nly.net
- DNS ASK wi###nly.net
- DNS ASK da###ody.net
- DNS ASK mo###ody.net
- DNS ASK su###ybody.net
- DNS ASK mo###ance.net
- DNS ASK me###are.net
- DNS ASK mo###ell.net
- DNS ASK su###ytell.net
- DNS ASK ja###uter.com
- DNS ASK el#####arimagine.com
- DNS ASK do####club-grup.com
- DNS ASK su###ydance.net
- DNS ASK mo###are.net
- DNS ASK go#####everytime.com
- DNS ASK da###are.net
- DNS ASK cl###dare.net
- DNS ASK si###ell.net
- DNS ASK cl###body.net
- DNS ASK da###ance.net
- DNS ASK cl###dance.net
- DNS ASK si###ance.net
- DNS ASK me###ance.net
- DNS ASK si###are.net
- DNS ASK me###ell.net
- DNS ASK si###ody.net
- DNS ASK me###ody.net
- '23#.#55.255.250':1900
