Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Link Smart Call Color Auto' = '<SYSTEM32>\wtwjdgzlsllr.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Publication Registry Error Client] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\qbekbhgbznel.exe' "<SYSTEM32>\wtwjdgzlsllr.exe"
- '%WINDIR%\Temp\sum8cz41jlso9.exe' -r 24786 tcp
- '%TEMP%\sum8cz3ucwso9nszjgis.exe'
- '<SYSTEM32>\wtwjdgzlsllr.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\ycjdaacbobnm\run
- <SYSTEM32>\ycjdaacbobnm\rng
- %WINDIR%\Temp\sum8cz41jlso9.exe
- <SYSTEM32>\ycjdaacbobnm\cfg
- <SYSTEM32>\qbekbhgbznel.exe
- %TEMP%\sum8cz3ucwso9nszjgis.exe
- <SYSTEM32>\ycjdaacbobnm\tst
- <SYSTEM32>\wtwjdgzlsllr.exe
- <SYSTEM32>\ycjdaacbobnm\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\qbekbhgbznel.exe
- <SYSTEM32>\wtwjdgzlsllr.exe
Удаляет следующие файлы:
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- <SYSTEM32>\PerfStringBackup.TMP
- %WINDIR%\Temp\sum8cz41jlso9.exe
- %TEMP%\sum8cz3ucwso9nszjgis.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'qu###sound.net':80
- 'fi###hand.net':80
- 'qu###hand.net':80
- 'fi###sound.net':80
- 'qu###lift.net':80
- 'fi###green.net':80
- 'qu###green.net':80
- 'bo###ift.net':80
- 'ga###ound.net':80
- 'bo###and.net':80
- 'ga###and.net':80
- 'bo###ound.net':80
- 'ga###ift.net':80
- 'bo###reen.net':80
- 'ga###reen.net':80
- 'fi###lift.net':80
- 'ta###fruit.net':80
- 'st###march.net':80
- 'we####daywhere.net':80
- 'da###ekilai.com':80
- 'do####n4guia.com':80
- 'fr###secas.com':80
- 'la###onea.com':80
- 'dr###road.net':80
- 'na###ore.net':80
- 'dr###where.net':80
- 'na###here.net':80
- 'dr###wore.net':80
- 'na###oad.net':80
- 'dr###mail.net':80
- 'na###ail.net':80
TCP:
Запросы HTTP GET:
- qu###sound.net/forum/search.php?me#########################################
- fi###hand.net/forum/search.php?me#########################################
- qu###hand.net/forum/search.php?me#########################################
- fi###sound.net/forum/search.php?me#########################################
- qu###lift.net/forum/search.php?me#########################################
- fi###green.net/forum/search.php?me#########################################
- qu###green.net/forum/search.php?me#########################################
- bo###ift.net/forum/search.php?me#########################################
- ga###ound.net/forum/search.php?me#########################################
- bo###and.net/forum/search.php?me#########################################
- ga###and.net/forum/search.php?me#########################################
- bo###ound.net/forum/search.php?me#########################################
- ga###ift.net/forum/search.php?me#########################################
- bo###reen.net/forum/search.php?me#########################################
- ga###reen.net/forum/search.php?me#########################################
- fi###lift.net/forum/search.php?me#########################################
- ta###fruit.net/forum/search.php?me#########################################
- st###march.net/forum/search.php?me#########################################
- we####daywhere.net/forum/search.php?me#########################################
- da###ekilai.com/forum/search.php?me#########################################
- do####n4guia.com/forum/search.php?me#########################################
- fr###secas.com/forum/search.php?me#########################################
- la###onea.com/forum/search.php?me#########################################
- dr###road.net/forum/search.php?me#########################################
- na###ore.net/forum/search.php?me#########################################
- dr###where.net/forum/search.php?me#########################################
- na###here.net/forum/search.php?me#########################################
- dr###wore.net/forum/search.php?me#########################################
- na###oad.net/forum/search.php?me#########################################
- dr###mail.net/forum/search.php?me#########################################
- na###ail.net/forum/search.php?me#########################################
UDP:
- DNS ASK fi###hand.net
- DNS ASK qu###sound.net
- DNS ASK bo###ift.net
- DNS ASK qu###hand.net
- DNS ASK fi###green.net
- DNS ASK qu###lift.net
- DNS ASK fi###sound.net
- DNS ASK qu###green.net
- DNS ASK bo###and.net
- DNS ASK ga###ound.net
- DNS ASK le###lift.net
- DNS ASK ga###and.net
- DNS ASK bo###reen.net
- DNS ASK ga###ift.net
- DNS ASK bo###ound.net
- DNS ASK ga###reen.net
- DNS ASK fi###lift.net
- DNS ASK ta###fruit.net
- DNS ASK st###march.net
- DNS ASK we####daywhere.net
- DNS ASK da###ekilai.com
- DNS ASK do####n4guia.com
- DNS ASK fr###secas.com
- DNS ASK la###onea.com
- DNS ASK dr###road.net
- DNS ASK na###ore.net
- DNS ASK dr###where.net
- DNS ASK na###here.net
- DNS ASK dr###wore.net
- DNS ASK na###oad.net
- DNS ASK dr###mail.net
- DNS ASK na###ail.net
- '23#.#55.255.250':1900
