Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'PNRP WebClient Time Discovery Interactive' = '<SYSTEM32>\guccgufiinzs.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Gateway Resource COM iSCSI WWAN Net.Tcp Source] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\nogokpko.exe' "<SYSTEM32>\guccgufiinzs.exe"
- '%WINDIR%\Temp\nnavh32o11uyzu.exe' -r 49570 tcp
- '%TEMP%\nnavh32mn4uyzuiwoaegl7.exe'
- '<SYSTEM32>\guccgufiinzs.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\wupozyju\run
- <SYSTEM32>\wupozyju\rng
- %WINDIR%\Temp\nnavh32o11uyzu.exe
- <SYSTEM32>\wupozyju\cfg
- <SYSTEM32>\nogokpko.exe
- %TEMP%\nnavh32mn4uyzuiwoaegl7.exe
- <SYSTEM32>\wupozyju\tst
- <SYSTEM32>\guccgufiinzs.exe
- <SYSTEM32>\wupozyju\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\nogokpko.exe
- <SYSTEM32>\guccgufiinzs.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\nnavh32o11uyzu.exe
- %TEMP%\nnavh32mn4uyzuiwoaegl7.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'pi####sterday.net':80
- 'so####sterday.net':80
- 'pi###ach.net':80
- 'so###ach.net':80
- 'pi###edge.net':80
- 'si###eet.net':80
- 'ro###ach.net':80
- 'so###edge.net':80
- 'ro###eet.net':80
- 'so###eet.net':80
- 'kn###ach.net':80
- 'ab###ach.net':80
- 'kn###eet.net':80
- 'ab###eet.net':80
- 'kn####sterday.net':80
- 'ab###edge.net':80
- 'pi###eet.net':80
- 'ab####sterday.net':80
- 'kn###edge.net':80
- 'ju###edge.net':80
- 'hi###eet.net':80
- 'ju####sterday.net':80
- 'mo###edge.net':80
- 'wh###eet.net':80
- 'hi####sterday.net':80
- 'wh####sterday.net':80
- 'hi###ach.net':80
- 'wh###ach.net':80
- 'mo####sterday.net':80
- 'si####sterday.net':80
- 'ro###edge.net':80
- 'si###ach.net':80
- 'ro####sterday.net':80
- 'si###edge.net':80
- 'mo###ach.net':80
- 'ju###ach.net':80
- 'mo###eet.net':80
- 'ju###eet.net':80
- 'wi###new.net':80
- 'wh###ifth.net':80
- 'hi###hine.net':80
- 'ju###new.net':80
- 'hi###ifth.net':80
- 'wh###hine.net':80
- 'hi###new.net':80
- 'wh###new.net':80
- 'hi###one.net':80
- 'wh###one.net':80
- 'mo###new.net':80
- 'la###onea.com':80
- 'da###ekilai.com':80
- 'do####n4guia.com':80
- 'fr###secas.com':80
- 'ta###fruit.net':80
- 'mo###one.net':80
- 'ju###one.net':80
- 'st###march.net':80
- 'ju###hine.net':80
- 'dr###fifth.net':80
- 'wi###ifth.net':80
- 'th###done.net':80
- 'th###knew.net':80
- 'dr###shine.net':80
- 'wi###one.net':80
- 'dr###knew.net':80
- 'wi###hine.net':80
- 'dr###done.net':80
- 'th###shine.net':80
- 'fe###hine.net':80
- 'lo###hine.net':80
- 'fe###ifth.net':80
- 'lo###ifth.net':80
- 'fe###one.net':80
- 'lo###new.net':80
- 'th###fifth.net':80
- 'lo###one.net':80
- 'fe###new.net':80
TCP:
Запросы HTTP GET:
- pi####sterday.net/forum/search.php?me#########################################
- so####sterday.net/forum/search.php?me#########################################
- pi###ach.net/forum/search.php?me#########################################
- so###ach.net/forum/search.php?me#########################################
- pi###edge.net/forum/search.php?me#########################################
- si###eet.net/forum/search.php?me#########################################
- ro###ach.net/forum/search.php?me#########################################
- so###edge.net/forum/search.php?me#########################################
- ro###eet.net/forum/search.php?me#########################################
- so###eet.net/forum/search.php?me#########################################
- kn###ach.net/forum/search.php?me#########################################
- ab###ach.net/forum/search.php?me#########################################
- kn###eet.net/forum/search.php?me#########################################
- ab###eet.net/forum/search.php?me#########################################
- kn####sterday.net/forum/search.php?me#########################################
- ab###edge.net/forum/search.php?me#########################################
- pi###eet.net/forum/search.php?me#########################################
- ab####sterday.net/forum/search.php?me#########################################
- kn###edge.net/forum/search.php?me#########################################
- ju###edge.net/forum/search.php?me#########################################
- hi###eet.net/forum/search.php?me#########################################
- ju####sterday.net/forum/search.php?me#########################################
- mo###edge.net/forum/search.php?me#########################################
- wh###eet.net/forum/search.php?me#########################################
- hi####sterday.net/forum/search.php?me#########################################
- wh####sterday.net/forum/search.php?me#########################################
- hi###ach.net/forum/search.php?me#########################################
- wh###ach.net/forum/search.php?me#########################################
- mo####sterday.net/forum/search.php?me#########################################
- si####sterday.net/forum/search.php?me#########################################
- ro###edge.net/forum/search.php?me#########################################
- si###ach.net/forum/search.php?me#########################################
- ro####sterday.net/forum/search.php?me#########################################
- si###edge.net/forum/search.php?me#########################################
- mo###ach.net/forum/search.php?me#########################################
- ju###ach.net/forum/search.php?me#########################################
- mo###eet.net/forum/search.php?me#########################################
- ju###eet.net/forum/search.php?me#########################################
- wi###new.net/forum/search.php?me#########################################
- wh###ifth.net/forum/search.php?me#########################################
- hi###hine.net/forum/search.php?me#########################################
- ju###new.net/forum/search.php?me#########################################
- hi###ifth.net/forum/search.php?me#########################################
- wh###hine.net/forum/search.php?me#########################################
- hi###new.net/forum/search.php?me#########################################
- wh###new.net/forum/search.php?me#########################################
- hi###one.net/forum/search.php?me#########################################
- wh###one.net/forum/search.php?me#########################################
- mo###new.net/forum/search.php?me#########################################
- la###onea.com/forum/search.php?me#########################################
- da###ekilai.com/forum/search.php?me#########################################
- do####n4guia.com/forum/search.php?me#########################################
- fr###secas.com/forum/search.php?me#########################################
- ta###fruit.net/forum/search.php?me#########################################
- mo###one.net/forum/search.php?me#########################################
- ju###one.net/forum/search.php?me#########################################
- st###march.net/forum/search.php?me#########################################
- ju###hine.net/forum/search.php?me#########################################
- dr###fifth.net/forum/search.php?me#########################################
- wi###ifth.net/forum/search.php?me#########################################
- th###done.net/forum/search.php?me#########################################
- th###knew.net/forum/search.php?me#########################################
- dr###shine.net/forum/search.php?me#########################################
- wi###one.net/forum/search.php?me#########################################
- dr###knew.net/forum/search.php?me#########################################
- wi###hine.net/forum/search.php?me#########################################
- dr###done.net/forum/search.php?me#########################################
- th###shine.net/forum/search.php?me#########################################
- fe###hine.net/forum/search.php?me#########################################
- lo###hine.net/forum/search.php?me#########################################
- fe###ifth.net/forum/search.php?me#########################################
- lo###ifth.net/forum/search.php?me#########################################
- fe###one.net/forum/search.php?me#########################################
- lo###new.net/forum/search.php?me#########################################
- th###fifth.net/forum/search.php?me#########################################
- lo###one.net/forum/search.php?me#########################################
- fe###new.net/forum/search.php?me#########################################
UDP:
- DNS ASK so###ach.net
- DNS ASK pi####sterday.net
- DNS ASK so###eet.net
- DNS ASK pi###ach.net
- DNS ASK so####sterday.net
- DNS ASK ro###eet.net
- DNS ASK si###eet.net
- DNS ASK pi###edge.net
- DNS ASK so###edge.net
- DNS ASK pi###eet.net
- DNS ASK ab###eet.net
- DNS ASK kn###ach.net
- DNS ASK wi###new.net
- DNS ASK kn###eet.net
- DNS ASK ab###ach.net
- DNS ASK kn###edge.net
- DNS ASK ab###edge.net
- DNS ASK kn####sterday.net
- DNS ASK ab####sterday.net
- DNS ASK ro###ach.net
- DNS ASK ju###edge.net
- DNS ASK hi###eet.net
- DNS ASK ju####sterday.net
- DNS ASK mo###edge.net
- DNS ASK wh###eet.net
- DNS ASK hi####sterday.net
- DNS ASK wh####sterday.net
- DNS ASK hi###ach.net
- DNS ASK wh###ach.net
- DNS ASK mo####sterday.net
- DNS ASK si####sterday.net
- DNS ASK ro###edge.net
- DNS ASK si###ach.net
- DNS ASK ro####sterday.net
- DNS ASK si###edge.net
- DNS ASK mo###ach.net
- DNS ASK ju###ach.net
- DNS ASK mo###eet.net
- DNS ASK ju###eet.net
- DNS ASK wh###ifth.net
- DNS ASK hi###hine.net
- DNS ASK ju###new.net
- DNS ASK hi###ifth.net
- DNS ASK wh###hine.net
- DNS ASK hi###new.net
- DNS ASK wh###new.net
- DNS ASK hi###one.net
- DNS ASK wh###one.net
- DNS ASK mo###new.net
- DNS ASK la###onea.com
- DNS ASK da###ekilai.com
- DNS ASK do####n4guia.com
- DNS ASK fr###secas.com
- DNS ASK ta###fruit.net
- DNS ASK mo###one.net
- DNS ASK ju###one.net
- DNS ASK st###march.net
- DNS ASK ju###hine.net
- DNS ASK dr###fifth.net
- DNS ASK wi###ifth.net
- DNS ASK th###done.net
- DNS ASK th###knew.net
- DNS ASK dr###shine.net
- DNS ASK wi###one.net
- DNS ASK dr###knew.net
- DNS ASK wi###hine.net
- DNS ASK dr###done.net
- DNS ASK th###shine.net
- DNS ASK fe###hine.net
- DNS ASK lo###hine.net
- DNS ASK fe###ifth.net
- DNS ASK lo###ifth.net
- DNS ASK fe###one.net
- DNS ASK lo###new.net
- DNS ASK th###fifth.net
- DNS ASK lo###one.net
- DNS ASK fe###new.net
- '23#.#55.255.250':1900
