Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'AutoConnect Plug Browser Keying Net.Tcp' = '<SYSTEM32>\zubbtfobj.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\HomeGroup iSCSI Print Event CNG] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\zkeoqxq.exe' "<SYSTEM32>\zubbtfobj.exe"
- '%WINDIR%\Temp\rmbugosh2x2zr93.exe' -r 35543 tcp
- '%TEMP%\rmbugosh2uttr93jrswwv1x.exe'
- '<SYSTEM32>\zubbtfobj.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\szvffqatmhx\run
- <SYSTEM32>\szvffqatmhx\rng
- %WINDIR%\Temp\rmbugosh2x2zr93.exe
- <SYSTEM32>\szvffqatmhx\cfg
- <SYSTEM32>\zkeoqxq.exe
- %TEMP%\rmbugosh2uttr93jrswwv1x.exe
- <SYSTEM32>\szvffqatmhx\tst
- <SYSTEM32>\zubbtfobj.exe
- <SYSTEM32>\szvffqatmhx\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\zkeoqxq.exe
- <SYSTEM32>\zubbtfobj.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\rmbugosh2x2zr93.exe
- %TEMP%\rmbugosh2uttr93jrswwv1x.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'st###house.net':80
- 'we###ouse.net':80
- 'wa###eace.net':80
- 'wa###uesday.net':80
- 'mo###peace.net':80
- 'we###uesday.net':80
- 'st###peace.net':80
- 'st####uesday.net':80
- 'st###gift.net':80
- 'we###ift.net':80
- 'le###peace.net':80
- 'fa###eace.net':80
- 'fa###uesday.net':80
- 'fa###ift.net':80
- 'le####uesday.net':80
- 'wa###ift.net':80
- 'mo####uesday.net':80
- 'mo###gift.net':80
- 'mo###house.net':80
- 'wa###ouse.net':80
- 'we###eace.net':80
- 'we#####aytuesday.net':80
- 'se###eace.net':80
- 'se###uesday.net':80
- 'se###ift.net':80
- 'we####daygift.net':80
- 'dr###gift.net':80
- 'na###ift.net':80
- 'na###ouse.net':80
- 'we####daypeace.net':80
- 'dr###house.net':80
- 'fo###gift.net':80
- 'af####uesday.net':80
- 'af###gift.net':80
- 'af###house.net':80
- 'fo###house.net':80
- 'se###ouse.net':80
- 'we####dayhouse.net':80
- 'fo###peace.net':80
- 'fo####uesday.net':80
- 'af###peace.net':80
- 'le###gift.net':80
- 'se###erve.net':80
- 'we####dayserve.net':80
- 'we####daylive.net':80
- 'we####daymine.net':80
- 'se###ive.net':80
- 'na###ine.net':80
- 'dr###live.net':80
- 'dr###mine.net':80
- 'dr###hello.net':80
- 'na###ello.net':80
- 'pi###rave.net':80
- 'ab###ead.net':80
- 'wi###ruit.net':80
- 'so###blood.net':80
- 'sa###econd.net':80
- 'ta###hand.net':80
- 'se###ine.net':80
- 'up###ail.net':80
- 'ro###tock.net':80
- 'wa###easy.net':80
- 'na###ive.net':80
- 'ga###ift.net':80
- 'bo###uesday.net':80
- 'bo###ift.net':80
- 'bo###ouse.net':80
- 'ga###ouse.net':80
- 'le###house.net':80
- 'fa###ouse.net':80
- 'ga###eace.net':80
- 'ga###uesday.net':80
- 'bo###eace.net':80
- 'qu###house.net':80
- 'fi###gift.net':80
- 'fi###house.net':80
- 'dr###serve.net':80
- 'na###erve.net':80
- 'fi###peace.net':80
- 'qu###peace.net':80
- 'qu####uesday.net':80
- 'qu###gift.net':80
- 'fi####uesday.net':80
TCP:
Запросы HTTP GET:
- st###house.net/index.php?me################################################
- we###ouse.net/index.php?me################################################
- wa###eace.net/index.php?me################################################
- wa###uesday.net/index.php?me################################################
- mo###peace.net/index.php?me################################################
- we###uesday.net/index.php?me################################################
- st###peace.net/index.php?me################################################
- st####uesday.net/index.php?me################################################
- st###gift.net/index.php?me################################################
- we###ift.net/index.php?me################################################
- le###peace.net/index.php?me################################################
- fa###eace.net/index.php?me################################################
- fa###uesday.net/index.php?me################################################
- fa###ift.net/index.php?me################################################
- le####uesday.net/index.php?me################################################
- wa###ift.net/index.php?me################################################
- mo####uesday.net/index.php?me################################################
- mo###gift.net/index.php?me################################################
- mo###house.net/index.php?me################################################
- wa###ouse.net/index.php?me################################################
- we###eace.net/index.php?me################################################
- we#####aytuesday.net/index.php?me################################################
- se###eace.net/index.php?me################################################
- se###uesday.net/index.php?me################################################
- se###ift.net/index.php?me################################################
- we####daygift.net/index.php?me################################################
- dr###gift.net/index.php?me################################################
- na###ift.net/index.php?me################################################
- na###ouse.net/index.php?me################################################
- we####daypeace.net/index.php?me################################################
- dr###house.net/index.php?me################################################
- fo###gift.net/index.php?me################################################
- af####uesday.net/index.php?me################################################
- af###gift.net/index.php?me################################################
- af###house.net/index.php?me################################################
- fo###house.net/index.php?me################################################
- se###ouse.net/index.php?me################################################
- we####dayhouse.net/index.php?me################################################
- fo###peace.net/index.php?me################################################
- fo####uesday.net/index.php?me################################################
- af###peace.net/index.php?me################################################
- le###gift.net/index.php?me################################################
- se###erve.net/index.php?me################################################
- we####dayserve.net/index.php?me################################################
- we####daylive.net/index.php?me################################################
- we####daymine.net/index.php?me################################################
- se###ive.net/index.php?me################################################
- na###ine.net/index.php?me################################################
- dr###live.net/index.php?me################################################
- dr###mine.net/index.php?me################################################
- dr###hello.net/index.php?me################################################
- na###ello.net/index.php?me################################################
- pi###rave.net/index.php?me################################################
- ab###ead.net/index.php?me################################################
- wi###ruit.net/index.php?me################################################
- so###blood.net/index.php?me################################################
- sa###econd.net/index.php?me################################################
- ta###hand.net/index.php?me################################################
- se###ine.net/index.php?me################################################
- up###ail.net/index.php?me################################################
- ro###tock.net/index.php?me################################################
- wa###easy.net/index.php?me################################################
- na###ive.net/index.php?me################################################
- ga###ift.net/index.php?me################################################
- bo###uesday.net/index.php?me################################################
- bo###ift.net/index.php?me################################################
- bo###ouse.net/index.php?me################################################
- ga###ouse.net/index.php?me################################################
- le###house.net/index.php?me################################################
- fa###ouse.net/index.php?me################################################
- ga###eace.net/index.php?me################################################
- ga###uesday.net/index.php?me################################################
- bo###eace.net/index.php?me################################################
- qu###house.net/index.php?me################################################
- fi###gift.net/index.php?me################################################
- fi###house.net/index.php?me################################################
- dr###serve.net/index.php?me################################################
- na###erve.net/index.php?me################################################
- fi###peace.net/index.php?me################################################
- qu###peace.net/index.php?me################################################
- qu####uesday.net/index.php?me################################################
- qu###gift.net/index.php?me################################################
- fi####uesday.net/index.php?me################################################
UDP:
- DNS ASK we###ouse.net
- DNS ASK st###gift.net
- DNS ASK st###house.net
- DNS ASK mo###peace.net
- DNS ASK wa###eace.net
- DNS ASK st###peace.net
- DNS ASK we###eace.net
- DNS ASK we###uesday.net
- DNS ASK we###ift.net
- DNS ASK st####uesday.net
- DNS ASK wa###uesday.net
- DNS ASK le###peace.net
- DNS ASK fa###eace.net
- DNS ASK fa###uesday.net
- DNS ASK fa###ift.net
- DNS ASK le####uesday.net
- DNS ASK wa###ift.net
- DNS ASK mo####uesday.net
- DNS ASK mo###gift.net
- DNS ASK mo###house.net
- DNS ASK wa###ouse.net
- DNS ASK se###eace.net
- DNS ASK we####daypeace.net
- DNS ASK we#####aytuesday.net
- DNS ASK we####daygift.net
- DNS ASK se###uesday.net
- DNS ASK na###ift.net
- DNS ASK dr####uesday.net
- DNS ASK dr###gift.net
- DNS ASK dr###house.net
- DNS ASK na###ouse.net
- DNS ASK se###ift.net
- DNS ASK fo###gift.net
- DNS ASK af####uesday.net
- DNS ASK af###gift.net
- DNS ASK af###house.net
- DNS ASK fo###house.net
- DNS ASK se###ouse.net
- DNS ASK we####dayhouse.net
- DNS ASK fo###peace.net
- DNS ASK fo####uesday.net
- DNS ASK af###peace.net
- DNS ASK le###gift.net
- DNS ASK se###erve.net
- DNS ASK we####dayserve.net
- DNS ASK we####daylive.net
- DNS ASK we####daymine.net
- DNS ASK se###ive.net
- DNS ASK na###ine.net
- DNS ASK dr###live.net
- DNS ASK dr###mine.net
- DNS ASK dr###hello.net
- DNS ASK na###ello.net
- DNS ASK pi###rave.net
- DNS ASK ab###ead.net
- DNS ASK wi###ruit.net
- DNS ASK so###blood.net
- DNS ASK sa###econd.net
- DNS ASK ta###hand.net
- DNS ASK se###ine.net
- DNS ASK up###ail.net
- DNS ASK ro###tock.net
- DNS ASK wa###easy.net
- DNS ASK na###ive.net
- DNS ASK ga###ift.net
- DNS ASK bo###uesday.net
- DNS ASK bo###ift.net
- DNS ASK bo###ouse.net
- DNS ASK ga###ouse.net
- DNS ASK le###house.net
- DNS ASK fa###ouse.net
- DNS ASK ga###eace.net
- DNS ASK ga###uesday.net
- DNS ASK bo###eace.net
- DNS ASK qu###house.net
- DNS ASK fi###gift.net
- DNS ASK fi###house.net
- DNS ASK dr###serve.net
- DNS ASK na###erve.net
- DNS ASK fi###peace.net
- DNS ASK qu###peace.net
- DNS ASK qu####uesday.net
- DNS ASK qu###gift.net
- DNS ASK fi####uesday.net
- '23#.#55.255.250':1900
