Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Collector Client Logs Video' = '<SYSTEM32>\skxiwxmkk.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Background Keying Filtering Group] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\zgjrlvybgzm.exe' "<SYSTEM32>\skxiwxmkk.exe"
- '%WINDIR%\Temp\zxv2cz62xvmpxw.exe' -r 27421 tcp
- '%TEMP%\zxv2cz62uttpxwbxqyptsm.exe'
- '<SYSTEM32>\skxiwxmkk.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\txilpgp\run
- <SYSTEM32>\txilpgp\rng
- %WINDIR%\Temp\zxv2cz62xvmpxw.exe
- <SYSTEM32>\txilpgp\cfg
- <SYSTEM32>\zgjrlvybgzm.exe
- %TEMP%\zxv2cz62uttpxwbxqyptsm.exe
- <SYSTEM32>\txilpgp\tst
- <SYSTEM32>\skxiwxmkk.exe
- <SYSTEM32>\txilpgp\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\zgjrlvybgzm.exe
- <SYSTEM32>\skxiwxmkk.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\zxv2cz62xvmpxw.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'st###happy.net':80
- 'sa###age.net':80
- 'wh###page.net':80
- 'ba###appy.net':80
- 'st###since.net':80
- 'ba###eat.net':80
- 'st###heat.net':80
- 'sa###ince.net':80
- 'wh###happy.net':80
- 'so###age.net':80
- 'lo###age.net':80
- 'sa###appy.net':80
- 'wh###since.net':80
- 'sa###eat.net':80
- 'wh###heat.net':80
- 'ba###ince.net':80
- 'mo###happy.net':80
- 'li###age.net':80
- 'en###page.net':80
- 'ti###appy.net':80
- 'mo###since.net':80
- 'ti###eat.net':80
- 'mo###heat.net':80
- 'li###ince.net':80
- 'en###happy.net':80
- 'ba###age.net':80
- 'st###page.net':80
- 'li###appy.net':80
- 'en###since.net':80
- 'li###eat.net':80
- 'en###heat.net':80
- 'fr###ylift.net':80
- 'mu###appy.net':80
- 'se###sound.net':80
- 'pu###reen.net':80
- 'fr###ysound.net':80
- 'pu###ound.net':80
- 'fr###ygreen.net':80
- 'fa###oat.net':80
- 'so###nder.net':80
- 'en###guess.net':80
- 'ab###ead.net':80
- 'qu###tell.net':80
- 'dr####hirteen.net':80
- 'mo###rest.net':80
- 'we####dayhalf.net':80
- 'pu###and.net':80
- 'so###appy.net':80
- 'lo###appy.net':80
- 'de####erhand.net':80
- 'lo###eat.net':80
- 'so###ince.net':80
- 'lo###ince.net':80
- 'so###eat.net':80
- 'al###hand.net':80
- 'de####erlift.net':80
- 'al###lift.net':80
- 'fr###yhand.net':80
- 'al###green.net':80
- 'de####ersound.net':80
- 'al###sound.net':80
- 'de####ergreen.net':80
TCP:
Запросы HTTP GET:
- st###happy.net/index.php?me################################################
- sa###age.net/index.php?me################################################
- wh###page.net/index.php?me################################################
- ba###appy.net/index.php?me################################################
- st###since.net/index.php?me################################################
- ba###eat.net/index.php?me################################################
- st###heat.net/index.php?me################################################
- sa###ince.net/index.php?me################################################
- wh###happy.net/index.php?me################################################
- so###age.net/index.php?me################################################
- lo###age.net/index.php?me################################################
- sa###appy.net/index.php?me################################################
- wh###since.net/index.php?me################################################
- sa###eat.net/index.php?me################################################
- wh###heat.net/index.php?me################################################
- ba###ince.net/index.php?me################################################
- mo###happy.net/index.php?me################################################
- li###age.net/index.php?me################################################
- en###page.net/index.php?me################################################
- ti###appy.net/index.php?me################################################
- mo###since.net/index.php?me################################################
- ti###eat.net/index.php?me################################################
- mo###heat.net/index.php?me################################################
- li###ince.net/index.php?me################################################
- en###happy.net/index.php?me################################################
- ba###age.net/index.php?me################################################
- st###page.net/index.php?me################################################
- li###appy.net/index.php?me################################################
- en###since.net/index.php?me################################################
- li###eat.net/index.php?me################################################
- en###heat.net/index.php?me################################################
- fr###ylift.net/index.php?me################################################
- mu###appy.net/index.php?me################################################
- se###sound.net/index.php?me################################################
- pu###reen.net/index.php?me################################################
- fr###ysound.net/index.php?me################################################
- pu###ound.net/index.php?me################################################
- fr###ygreen.net/index.php?me################################################
- fa###oat.net/index.php?me################################################
- so###nder.net/index.php?me################################################
- en###guess.net/index.php?me################################################
- ab###ead.net/index.php?me################################################
- qu###tell.net/index.php?me################################################
- dr####hirteen.net/index.php?me################################################
- mo###rest.net/index.php?me################################################
- we####dayhalf.net/index.php?me################################################
- pu###and.net/index.php?me################################################
- so###appy.net/index.php?me################################################
- lo###appy.net/index.php?me################################################
- de####erhand.net/index.php?me################################################
- lo###eat.net/index.php?me################################################
- so###ince.net/index.php?me################################################
- lo###ince.net/index.php?me################################################
- so###eat.net/index.php?me################################################
- al###hand.net/index.php?me################################################
- de####erlift.net/index.php?me################################################
- al###lift.net/index.php?me################################################
- fr###yhand.net/index.php?me################################################
- al###green.net/index.php?me################################################
- de####ersound.net/index.php?me################################################
- al###sound.net/index.php?me################################################
- de####ergreen.net/index.php?me################################################
UDP:
- DNS ASK st###happy.net
- DNS ASK ba###appy.net
- DNS ASK wh###page.net
- DNS ASK sa###age.net
- DNS ASK st###since.net
- DNS ASK ba###ince.net
- DNS ASK st###heat.net
- DNS ASK ba###eat.net
- DNS ASK wh###happy.net
- DNS ASK sa###appy.net
- DNS ASK lo###age.net
- DNS ASK so###age.net
- DNS ASK wh###since.net
- DNS ASK sa###ince.net
- DNS ASK wh###heat.net
- DNS ASK sa###eat.net
- DNS ASK mo###happy.net
- DNS ASK ti###appy.net
- DNS ASK en###page.net
- DNS ASK li###age.net
- DNS ASK mo###since.net
- DNS ASK ti###ince.net
- DNS ASK mo###heat.net
- DNS ASK ti###eat.net
- DNS ASK en###happy.net
- DNS ASK li###appy.net
- DNS ASK st###page.net
- DNS ASK ba###age.net
- DNS ASK en###since.net
- DNS ASK li###ince.net
- DNS ASK en###heat.net
- DNS ASK li###eat.net
- DNS ASK fr###ylift.net
- DNS ASK mu###appy.net
- DNS ASK se###sound.net
- DNS ASK pu###reen.net
- DNS ASK fr###ysound.net
- DNS ASK pu###ound.net
- DNS ASK fr###ygreen.net
- DNS ASK fa###oat.net
- DNS ASK so###nder.net
- DNS ASK en###guess.net
- DNS ASK ab###ead.net
- DNS ASK qu###tell.net
- DNS ASK dr####hirteen.net
- DNS ASK mo###rest.net
- DNS ASK we####dayhalf.net
- DNS ASK pu###and.net
- DNS ASK so###appy.net
- DNS ASK lo###appy.net
- DNS ASK de####erhand.net
- DNS ASK lo###eat.net
- DNS ASK so###ince.net
- DNS ASK lo###ince.net
- DNS ASK so###eat.net
- DNS ASK al###hand.net
- DNS ASK de####erlift.net
- DNS ASK al###lift.net
- DNS ASK fr###yhand.net
- DNS ASK al###green.net
- DNS ASK de####ersound.net
- DNS ASK al###sound.net
- DNS ASK de####ergreen.net
- '23#.#55.255.250':1900
