Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Desktop Key PC Keying Discovery Superfetch WMI' = '<SYSTEM32>\xkqncsc.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Update WinHTTP Player Offline] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\rjkkvptze.exe' "<SYSTEM32>\xkqncsc.exe"
- '%WINDIR%\Temp\ral7dpa3l0jhuzpj.exe' -r 34790 tcp
- '%TEMP%\ral7dpa3grbhuzpjln0tzltq.exe'
- '<SYSTEM32>\xkqncsc.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\zqutoxnhfqllg\run
- <SYSTEM32>\zqutoxnhfqllg\rng
- %WINDIR%\Temp\ral7dpa3l0jhuzpj.exe
- <SYSTEM32>\zqutoxnhfqllg\cfg
- <SYSTEM32>\rjkkvptze.exe
- %TEMP%\ral7dpa3grbhuzpjln0tzltq.exe
- <SYSTEM32>\zqutoxnhfqllg\tst
- <SYSTEM32>\xkqncsc.exe
- <SYSTEM32>\zqutoxnhfqllg\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\rjkkvptze.exe
- <SYSTEM32>\xkqncsc.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\ral7dpa3l0jhuzpj.exe
- %TEMP%\ral7dpa3grbhuzpjln0tzltq.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'de###appy.net':80
- 'sh###happy.net':80
- 'sh###heat.net':80
- 'sh###since.net':80
- 'de###eat.net':80
- 'ti###age.net':80
- 'ti###eat.net':80
- 'mo###heat.net':80
- 'mo###since.net':80
- 'mo###page.net':80
- 'ti###ince.net':80
- 'pu###ince.net':80
- 'fr###yheat.net':80
- 'fr###ysince.net':80
- 'fr###ypage.net':80
- 'pu###age.net':80
- 'pu###eat.net':80
- 'sh###page.net':80
- 'de###ince.net':80
- 'de###age.net':80
- 'fr###yhappy.net':80
- 'pu###appy.net':80
- 'ti###appy.net':80
- 'po###deal.net':80
- 'ri###irst.net':80
- 'ba###eat.net':80
- 'ba###ince.net':80
- 'st###since.net':80
- 'sp###study.net':80
- 'so###blood.net':80
- 'si###rmy.net':80
- 'sa###econd.net':80
- 'ro###new.net':80
- 'wi###new.net':80
- 'li###ince.net':80
- 'en###since.net':80
- 'en###page.net':80
- 'mo###happy.net':80
- 'li###age.net':80
- 'li###eat.net':80
- 'ba###age.net':80
- 'st###page.net':80
- 'en###happy.net':80
- 'en###heat.net':80
- 'li###appy.net':80
TCP:
Запросы HTTP GET:
- de###appy.net/index.php?me#########################################
- sh###happy.net/index.php?me#########################################
- sh###heat.net/index.php?me#########################################
- sh###since.net/index.php?me#########################################
- de###eat.net/index.php?me#########################################
- ti###age.net/index.php?me#########################################
- ti###eat.net/index.php?me#########################################
- mo###heat.net/index.php?me#########################################
- mo###since.net/index.php?me#########################################
- mo###page.net/index.php?me#########################################
- ti###ince.net/index.php?me#########################################
- pu###ince.net/index.php?me#########################################
- fr###yheat.net/index.php?me#########################################
- fr###ysince.net/index.php?me#########################################
- fr###ypage.net/index.php?me#########################################
- pu###age.net/index.php?me#########################################
- pu###eat.net/index.php?me#########################################
- sh###page.net/index.php?me#########################################
- de###ince.net/index.php?me#########################################
- de###age.net/index.php?me#########################################
- fr###yhappy.net/index.php?me#########################################
- pu###appy.net/index.php?me#########################################
- ti###appy.net/index.php?me#########################################
- po###deal.net/index.php?me#########################################
- ri###irst.net/index.php?me#########################################
- ba###eat.net/index.php?me#########################################
- ba###ince.net/index.php?me#########################################
- st###since.net/index.php?me#########################################
- sp###study.net/index.php?me#########################################
- so###blood.net/index.php?me#########################################
- si###rmy.net/index.php?me#########################################
- sa###econd.net/index.php?me#########################################
- ro###new.net/index.php?me#########################################
- wi###new.net/index.php?me#########################################
- li###ince.net/index.php?me#########################################
- en###since.net/index.php?me#########################################
- en###page.net/index.php?me#########################################
- mo###happy.net/index.php?me#########################################
- li###age.net/index.php?me#########################################
- li###eat.net/index.php?me#########################################
- ba###age.net/index.php?me#########################################
- st###page.net/index.php?me#########################################
- en###happy.net/index.php?me#########################################
- en###heat.net/index.php?me#########################################
- li###appy.net/index.php?me#########################################
UDP:
- DNS ASK de###appy.net
- DNS ASK sh###happy.net
- DNS ASK sh###heat.net
- DNS ASK sh###since.net
- DNS ASK de###eat.net
- DNS ASK ti###age.net
- DNS ASK ti###eat.net
- DNS ASK mo###heat.net
- DNS ASK mo###since.net
- DNS ASK mo###page.net
- DNS ASK ti###ince.net
- DNS ASK de###ince.net
- DNS ASK fr###ysince.net
- DNS ASK pu###ince.net
- DNS ASK pu###age.net
- DNS ASK al###happy.net
- DNS ASK fr###ypage.net
- DNS ASK fr###yheat.net
- DNS ASK de###age.net
- DNS ASK sh###page.net
- DNS ASK pu###appy.net
- DNS ASK pu###eat.net
- DNS ASK fr###yhappy.net
- DNS ASK ti###appy.net
- DNS ASK po###deal.net
- DNS ASK ri###irst.net
- DNS ASK ba###eat.net
- DNS ASK ba###ince.net
- DNS ASK st###since.net
- DNS ASK sp###study.net
- DNS ASK so###blood.net
- DNS ASK si###rmy.net
- DNS ASK sa###econd.net
- DNS ASK ro###new.net
- DNS ASK wi###new.net
- DNS ASK li###ince.net
- DNS ASK en###since.net
- DNS ASK en###page.net
- DNS ASK mo###happy.net
- DNS ASK li###age.net
- DNS ASK li###eat.net
- DNS ASK ba###age.net
- DNS ASK st###page.net
- DNS ASK en###happy.net
- DNS ASK en###heat.net
- DNS ASK li###appy.net
- '23#.#55.255.250':1900
