Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Class Policy Secure Encryption WMI' = '<SYSTEM32>\rsmbddwdzmew.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Intelligent Encryption Protected DCOM] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\watxqindw.exe' "<SYSTEM32>\rsmbddwdzmew.exe"
- '%WINDIR%\Temp\fnaoiug3gthy2m.exe' -r 45072 tcp
- '%TEMP%\fnaoiug3amuy2makgdkzz.exe'
- '<SYSTEM32>\rsmbddwdzmew.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\onoparaahbnti\run
- <SYSTEM32>\onoparaahbnti\rng
- %WINDIR%\Temp\fnaoiug3gthy2m.exe
- <SYSTEM32>\onoparaahbnti\cfg
- <SYSTEM32>\watxqindw.exe
- %TEMP%\fnaoiug3amuy2makgdkzz.exe
- <SYSTEM32>\onoparaahbnti\tst
- <SYSTEM32>\rsmbddwdzmew.exe
- <SYSTEM32>\onoparaahbnti\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\watxqindw.exe
- <SYSTEM32>\rsmbddwdzmew.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\fnaoiug3gthy2m.exe
- %TEMP%\fnaoiug3amuy2makgdkzz.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'lo###ello.net':80
- 'de####errain.net':80
- 'so###ello.net':80
- 'so###ine.net':80
- 'lo###ine.net':80
- 'de####erheight.net':80
- 'al###height.net':80
- 'al###held.net':80
- 'al###rain.net':80
- 'de####erheld.net':80
- 'lo###ive.net':80
- 'sa###ine.net':80
- 'wh###mine.net':80
- 'wh###live.net':80
- 'wh###serve.net':80
- 'sa###ive.net':80
- 'lo###erve.net':80
- 'so###ive.net':80
- 'so###erve.net':80
- 'sa###ello.net':80
- 'wh###hello.net':80
- 'de###eight.net':80
- 'st###march.net':80
- 'sh###held.net':80
- 'sh###rain.net':80
- 'de###eld.net':80
- 'fr###secas.com':80
- 'do####n4guia.com':80
- 'la###onea.com':80
- 'ta###fruit.net':80
- 'da###ekilai.com':80
- 'de###ain.net':80
- 'pu###ain.net':80
- 'fr###yheld.net':80
- 'fr###yrain.net':80
- 'de####ersleep.net':80
- 'al###sleep.net':80
- 'fr###ysleep.net':80
- 'pu###leep.net':80
- 'pu###eight.net':80
- 'pu###eld.net':80
- 'fr####height.net':80
TCP:
Запросы HTTP GET:
- lo###ello.net/forum/search.php?me#########################################
- de####errain.net/forum/search.php?me#########################################
- so###ello.net/forum/search.php?me#########################################
- so###ine.net/forum/search.php?me#########################################
- lo###ine.net/forum/search.php?me#########################################
- de####erheight.net/forum/search.php?me#########################################
- al###height.net/forum/search.php?me#########################################
- al###held.net/forum/search.php?me#########################################
- al###rain.net/forum/search.php?me#########################################
- de####erheld.net/forum/search.php?me#########################################
- lo###ive.net/forum/search.php?me#########################################
- sa###ine.net/forum/search.php?me#########################################
- wh###mine.net/forum/search.php?me#########################################
- wh###live.net/forum/search.php?me#########################################
- wh###serve.net/forum/search.php?me#########################################
- sa###ive.net/forum/search.php?me#########################################
- lo###erve.net/forum/search.php?me#########################################
- so###ive.net/forum/search.php?me#########################################
- so###erve.net/forum/search.php?me#########################################
- sa###ello.net/forum/search.php?me#########################################
- wh###hello.net/forum/search.php?me#########################################
- de###eight.net/forum/search.php?me#########################################
- st###march.net/forum/search.php?me#########################################
- sh###held.net/forum/search.php?me#########################################
- sh###rain.net/forum/search.php?me#########################################
- de###eld.net/forum/search.php?me#########################################
- fr###secas.com/forum/search.php?me#########################################
- do####n4guia.com/forum/search.php?me#########################################
- la###onea.com/forum/search.php?me#########################################
- ta###fruit.net/forum/search.php?me#########################################
- da###ekilai.com/forum/search.php?me#########################################
- de###ain.net/forum/search.php?me#########################################
- pu###ain.net/forum/search.php?me#########################################
- fr###yheld.net/forum/search.php?me#########################################
- fr###yrain.net/forum/search.php?me#########################################
- de####ersleep.net/forum/search.php?me#########################################
- al###sleep.net/forum/search.php?me#########################################
- fr###ysleep.net/forum/search.php?me#########################################
- pu###leep.net/forum/search.php?me#########################################
- pu###eight.net/forum/search.php?me#########################################
- pu###eld.net/forum/search.php?me#########################################
- fr####height.net/forum/search.php?me#########################################
UDP:
- DNS ASK so###ello.net
- DNS ASK lo###ello.net
- DNS ASK lo###ine.net
- DNS ASK lo###ive.net
- DNS ASK so###ine.net
- DNS ASK de####errain.net
- DNS ASK de####erheight.net
- DNS ASK al###height.net
- DNS ASK al###held.net
- DNS ASK al###rain.net
- DNS ASK de####erheld.net
- DNS ASK wh###live.net
- DNS ASK sa###ine.net
- DNS ASK sa###ive.net
- DNS ASK sa###erve.net
- DNS ASK wh###serve.net
- DNS ASK wh###mine.net
- DNS ASK lo###erve.net
- DNS ASK so###ive.net
- DNS ASK so###erve.net
- DNS ASK sa###ello.net
- DNS ASK wh###hello.net
- DNS ASK de###eight.net
- DNS ASK st###march.net
- DNS ASK sh###held.net
- DNS ASK sh###rain.net
- DNS ASK de###eld.net
- DNS ASK fr###secas.com
- DNS ASK do####n4guia.com
- DNS ASK la###onea.com
- DNS ASK ta###fruit.net
- DNS ASK da###ekilai.com
- DNS ASK de###ain.net
- DNS ASK pu###ain.net
- DNS ASK fr###yheld.net
- DNS ASK fr###yrain.net
- DNS ASK de####ersleep.net
- DNS ASK al###sleep.net
- DNS ASK fr###ysleep.net
- DNS ASK pu###leep.net
- DNS ASK pu###eight.net
- DNS ASK pu###eld.net
- DNS ASK fr####height.net
- '23#.#55.255.250':1900
