Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Extender Quality CNG UPnP' = '<SYSTEM32>\izvehoua.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Experience Socket Player SSDP Microsoft] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\ltwwinftqlox.exe' "<SYSTEM32>\izvehoua.exe"
- '%WINDIR%\Temp\wqnbiai3jufvcshc.exe' -r 48949 tcp
- '%TEMP%\wqnbiai3d4ovcshcipdw8y.exe'
- '<SYSTEM32>\izvehoua.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\obqrvvfk\run
- <SYSTEM32>\obqrvvfk\rng
- %WINDIR%\Temp\wqnbiai3jufvcshc.exe
- <SYSTEM32>\obqrvvfk\cfg
- <SYSTEM32>\ltwwinftqlox.exe
- %TEMP%\wqnbiai3d4ovcshcipdw8y.exe
- <SYSTEM32>\obqrvvfk\tst
- <SYSTEM32>\izvehoua.exe
- <SYSTEM32>\obqrvvfk\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\ltwwinftqlox.exe
- <SYSTEM32>\izvehoua.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\wqnbiai3jufvcshc.exe
- <DRIVERS>\etc\hosts
- %TEMP%\wqnbiai3d4ovcshcipdw8y.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'li###onday.net':80
- 'en###feed.net':80
- 'li###eed.net':80
- 'en###monday.net':80
- 'ba###end.net':80
- 'en###under.net':80
- 'li###nder.net':80
- 'mo###monday.net':80
- 'ti###onday.net':80
- 'mo###feed.net':80
- 'ti###nder.net':80
- 'en###lend.net':80
- 'li###end.net':80
- 'mo###under.net':80
- 'ri###irst.net':80
- 'po###deal.net':80
- 'sa###end.net':80
- 'sp###study.net':80
- 'si###rmy.net':80
- 'wi###new.net':80
- 'ro###new.net':80
- 'st###feed.net':80
- 'ba###eed.net':80
- 'st###lend.net':80
- 'ba###onday.net':80
- 'st###under.net':80
- 'ba###nder.net':80
- 'st###monday.net':80
TCP:
Запросы HTTP GET:
- li###onday.net/index.php?me#########################################
- en###feed.net/index.php?me#########################################
- li###eed.net/index.php?me#########################################
- en###monday.net/index.php?me#########################################
- ba###end.net/index.php?me#########################################
- en###under.net/index.php?me#########################################
- li###nder.net/index.php?me#########################################
- mo###monday.net/index.php?me#########################################
- ti###onday.net/index.php?me#########################################
- mo###feed.net/index.php?me#########################################
- ti###nder.net/index.php?me#########################################
- en###lend.net/index.php?me#########################################
- li###end.net/index.php?me#########################################
- mo###under.net/index.php?me#########################################
- ri###irst.net/index.php?me#########################################
- po###deal.net/index.php?me#########################################
- sa###end.net/index.php?me#########################################
- sp###study.net/index.php?me#########################################
- si###rmy.net/index.php?me#########################################
- wi###new.net/index.php?me#########################################
- ro###new.net/index.php?me#########################################
- st###feed.net/index.php?me#########################################
- ba###eed.net/index.php?me#########################################
- st###lend.net/index.php?me#########################################
- ba###onday.net/index.php?me#########################################
- st###under.net/index.php?me#########################################
- ba###nder.net/index.php?me#########################################
- st###monday.net/index.php?me#########################################
UDP:
- DNS ASK li###onday.net
- DNS ASK en###monday.net
- DNS ASK li###eed.net
- DNS ASK en###feed.net
- DNS ASK ba###end.net
- DNS ASK st###lend.net
- DNS ASK li###nder.net
- DNS ASK en###under.net
- DNS ASK ti###onday.net
- DNS ASK mo###monday.net
- DNS ASK ti###eed.net
- DNS ASK mo###feed.net
- DNS ASK li###end.net
- DNS ASK en###lend.net
- DNS ASK ti###nder.net
- DNS ASK mo###under.net
- DNS ASK ro###new.net
- DNS ASK sp###study.net
- DNS ASK ri###irst.net
- DNS ASK wi###new.net
- DNS ASK si###rmy.net
- DNS ASK so###blood.net
- DNS ASK sa###econd.net
- DNS ASK po###deal.net
- DNS ASK ba###onday.net
- DNS ASK st###feed.net
- DNS ASK ba###eed.net
- DNS ASK st###monday.net
- DNS ASK sa###end.net
- DNS ASK st###under.net
- DNS ASK ba###nder.net
- '23#.#55.255.250':1900
