Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Source CNG Multimedia Gateway' = '<SYSTEM32>\wkmqytomk.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Launcher Process PNRP Resolution Discovery UPnP] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\utpurlqoyvq.exe' "<SYSTEM32>\wkmqytomk.exe"
- '%WINDIR%\Temp\hspyjgx3wfkxdy.exe' -r 31558 tcp
- '%TEMP%\hspyjgx3svixdyckk1hski.exe'
- '<SYSTEM32>\wkmqytomk.exe'
Запускает на исполнение:
- '<SYSTEM32>\alg.exe' 2976
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\xlvoawfyozrduj\run
- <SYSTEM32>\xlvoawfyozrduj\rng
- <SYSTEM32>\xlvoawfyozrduj\cfg
- <Служебный элемент>
- %WINDIR%\Temp\hspyjgx3wfkxdy.exe
- %TEMP%\hspyjgx3svixdyckk1hski.exe
- <SYSTEM32>\xlvoawfyozrduj\tst
- <SYSTEM32>\xlvoawfyozrduj\etc
- <SYSTEM32>\utpurlqoyvq.exe
- <SYSTEM32>\wkmqytomk.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\utpurlqoyvq.exe
- <SYSTEM32>\wkmqytomk.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\hspyjgx3wfkxdy.exe
- %TEMP%\hspyjgx3svixdyckk1hski.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'th###knew.net':80
- 'th###done.net':80
- 'dr###fifth.net':80
- 'dr###shine.net':80
- 'wi###ifth.net':80
- 'fe###new.net':80
- 'lo###one.net':80
- 'lo###new.net':80
- 'th###shine.net':80
- 'th###fifth.net':80
- 'wi###hine.net':80
- 'kn###ach.net':80
- 'ab###eet.net':80
- 'ab###ach.net':80
- 'ab####sterday.net':80
- 'kn####sterday.net':80
- 'wi###one.net':80
- 'dr###done.net':80
- 'dr###knew.net':80
- 'kn###eet.net':80
- 'wi###new.net':80
- 'mo###new.net':80
- 'ju###one.net':80
- 'ju###new.net':80
- 'wh###ifth.net':80
- 'hi###ifth.net':80
- 'sa###econd.net':80
- 'so###blood.net':80
- 'en###dont.net':80
- 'wh###reply.net':80
- 'se###mall.net':80
- 'hi###hine.net':80
- 'lo###ifth.net':80
- 'fe###ifth.net':80
- 'fe###hine.net':80
- 'fe###one.net':80
- 'lo###hine.net':80
- 'hi###one.net':80
- 'wh###hine.net':80
- 'wh###one.net':80
- 'wh###new.net':80
- 'hi###new.net':80
TCP:
Запросы HTTP GET:
- th###knew.net/index.php?me#########################################
- th###done.net/index.php?me#########################################
- dr###fifth.net/index.php?me#########################################
- dr###shine.net/index.php?me#########################################
- wi###ifth.net/index.php?me#########################################
- fe###new.net/index.php?me#########################################
- lo###one.net/index.php?me#########################################
- lo###new.net/index.php?me#########################################
- th###shine.net/index.php?me#########################################
- th###fifth.net/index.php?me#########################################
- wi###hine.net/index.php?me#########################################
- kn###ach.net/index.php?me#########################################
- ab###eet.net/index.php?me#########################################
- ab###ach.net/index.php?me#########################################
- ab####sterday.net/index.php?me#########################################
- kn####sterday.net/index.php?me#########################################
- wi###one.net/index.php?me#########################################
- dr###done.net/index.php?me#########################################
- dr###knew.net/index.php?me#########################################
- kn###eet.net/index.php?me#########################################
- wi###new.net/index.php?me#########################################
- mo###new.net/index.php?me#########################################
- ju###one.net/index.php?me#########################################
- ju###new.net/index.php?me#########################################
- wh###ifth.net/index.php?me#########################################
- hi###ifth.net/index.php?me#########################################
- sa###econd.net/index.php?me#########################################
- so###blood.net/index.php?me#########################################
- en###dont.net/index.php?me#########################################
- wh###reply.net/index.php?me#########################################
- se###mall.net/index.php?me#########################################
- hi###hine.net/index.php?me#########################################
- lo###ifth.net/index.php?me#########################################
- fe###ifth.net/index.php?me#########################################
- fe###hine.net/index.php?me#########################################
- fe###one.net/index.php?me#########################################
- lo###hine.net/index.php?me#########################################
- hi###one.net/index.php?me#########################################
- wh###hine.net/index.php?me#########################################
- wh###one.net/index.php?me#########################################
- wh###new.net/index.php?me#########################################
- hi###new.net/index.php?me#########################################
UDP:
- DNS ASK th###knew.net
- DNS ASK th###done.net
- DNS ASK dr###fifth.net
- DNS ASK dr###shine.net
- DNS ASK wi###ifth.net
- DNS ASK fe###new.net
- DNS ASK lo###one.net
- DNS ASK lo###new.net
- DNS ASK th###shine.net
- DNS ASK th###fifth.net
- DNS ASK wi###hine.net
- DNS ASK kn###ach.net
- DNS ASK ab###eet.net
- DNS ASK ab###ach.net
- DNS ASK ab####sterday.net
- DNS ASK kn####sterday.net
- DNS ASK wi###one.net
- DNS ASK dr###done.net
- DNS ASK dr###knew.net
- DNS ASK kn###eet.net
- DNS ASK wi###new.net
- DNS ASK fe###one.net
- DNS ASK mo###new.net
- DNS ASK ju###one.net
- DNS ASK ju###new.net
- DNS ASK wh###ifth.net
- DNS ASK hi###ifth.net
- DNS ASK sa###econd.net
- DNS ASK so###blood.net
- DNS ASK en###dont.net
- DNS ASK wh###reply.net
- DNS ASK se###mall.net
- DNS ASK fe###ifth.net
- DNS ASK wh###new.net
- DNS ASK lo###ifth.net
- DNS ASK lo###hine.net
- DNS ASK fe###hine.net
- DNS ASK wh###hine.net
- DNS ASK hi###hine.net
- DNS ASK hi###one.net
- DNS ASK hi###new.net
- DNS ASK wh###one.net
- '23#.#55.255.250':1900
