Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Link Smart Call Color Auto' = '<SYSTEM32>\wtwjdgzlsllr.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Publication Registry Error Client] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\qbekbhgbznel.exe' "<SYSTEM32>\wtwjdgzlsllr.exe"
- '%WINDIR%\Temp\eiqbgr62ozbnbmh.exe' -r 45587 tcp
- '%TEMP%\eiqbgr62mzpnbmhcdq4n3.exe'
- '<SYSTEM32>\wtwjdgzlsllr.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\ycjdaacbobnm\run
- <SYSTEM32>\ycjdaacbobnm\rng
- %WINDIR%\Temp\eiqbgr62ozbnbmh.exe
- <SYSTEM32>\ycjdaacbobnm\cfg
- <SYSTEM32>\qbekbhgbznel.exe
- %TEMP%\eiqbgr62mzpnbmhcdq4n3.exe
- <SYSTEM32>\ycjdaacbobnm\tst
- <SYSTEM32>\wtwjdgzlsllr.exe
- <SYSTEM32>\ycjdaacbobnm\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\qbekbhgbznel.exe
- <SYSTEM32>\wtwjdgzlsllr.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\eiqbgr62ozbnbmh.exe
- %TEMP%\eiqbgr62mzpnbmhcdq4n3.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'qu###five.net':80
- 'fi###five.net':80
- 'qu###voice.net':80
- 'fi###eight.net':80
- 'qu###they.net':80
- 'fi###they.net':80
- 'qu###eight.net':80
- 'dr###since.net':80
- 'na###eat.net':80
- 'dr###heat.net':80
- 'na###ince.net':80
- 'fi###voice.net':80
- 'na###age.net':80
- 'dr###page.net':80
- 'fa###oice.net':80
- 'le###voice.net':80
- 'ga###hey.net':80
- 'le###five.net':80
- 'fa###ight.net':80
- 'le###eight.net':80
- 'fa###ive.net':80
- 'bo###ive.net':80
- 'ga###oice.net':80
- 'bo###oice.net':80
- 'ga###ive.net':80
- 'bo###hey.net':80
- 'ga###ight.net':80
- 'bo###ight.net':80
- 'na###appy.net':80
- 'th####hcountry.net':80
- 'li####appear.net':80
- 're####erpaint.net':80
- 'we###age.net':80
- 'af###heat.net':80
- 'fo###happy.net':80
- 'af###happy.net':80
- 'mi####lossary.net':80
- 'ta###fruit.net':80
- 'st###march.net':80
- 're####eneither.net':80
- 'ne####arydress.net':80
- 'gl###health.net':80
- 'ge####friend.net':80
- 'se###ince.net':80
- 'we####dayheat.net':80
- 'se###eat.net':80
- 'we####daysince.net':80
- 'dr###happy.net':80
- 'we####daypage.net':80
- 'se###age.net':80
- 'fo###since.net':80
- 'af###since.net':80
- 'fo###heat.net':80
- 'af###page.net':80
- 'we####dayhappy.net':80
- 'se###appy.net':80
- 'fo###page.net':80
TCP:
Запросы HTTP GET:
- qu###five.net/forum/search.php?me#########################################
- fi###five.net/forum/search.php?me#########################################
- qu###voice.net/forum/search.php?me#########################################
- fi###eight.net/forum/search.php?me#########################################
- qu###they.net/forum/search.php?me#########################################
- fi###they.net/forum/search.php?me#########################################
- qu###eight.net/forum/search.php?me#########################################
- dr###since.net/forum/search.php?me#########################################
- na###eat.net/forum/search.php?me#########################################
- dr###heat.net/forum/search.php?me#########################################
- na###ince.net/forum/search.php?me#########################################
- fi###voice.net/forum/search.php?me#########################################
- na###age.net/forum/search.php?me#########################################
- dr###page.net/forum/search.php?me#########################################
- fa###oice.net/forum/search.php?me#########################################
- le###voice.net/forum/search.php?me#########################################
- ga###hey.net/forum/search.php?me#########################################
- le###five.net/forum/search.php?me#########################################
- fa###ight.net/forum/search.php?me#########################################
- le###eight.net/forum/search.php?me#########################################
- fa###ive.net/forum/search.php?me#########################################
- bo###ive.net/forum/search.php?me#########################################
- ga###oice.net/forum/search.php?me#########################################
- bo###oice.net/forum/search.php?me#########################################
- ga###ive.net/forum/search.php?me#########################################
- bo###hey.net/forum/search.php?me#########################################
- ga###ight.net/forum/search.php?me#########################################
- bo###ight.net/forum/search.php?me#########################################
- na###appy.net/forum/search.php?me#########################################
- th####hcountry.net/forum/search.php?me#########################################
- li####appear.net/forum/search.php?me#########################################
- re####erpaint.net/forum/search.php?me#########################################
- we###age.net/forum/search.php?me#########################################
- af###heat.net/forum/search.php?me#########################################
- fo###happy.net/forum/search.php?me#########################################
- af###happy.net/forum/search.php?me#########################################
- mi####lossary.net/forum/search.php?me#########################################
- ta###fruit.net/forum/search.php?me#########################################
- st###march.net/forum/search.php?me#########################################
- re####eneither.net/forum/search.php?me#########################################
- ne####arydress.net/forum/search.php?me#########################################
- gl###health.net/forum/search.php?me#########################################
- ge####friend.net/forum/search.php?me#########################################
- se###ince.net/forum/search.php?me#########################################
- we####dayheat.net/forum/search.php?me#########################################
- se###eat.net/forum/search.php?me#########################################
- we####daysince.net/forum/search.php?me#########################################
- dr###happy.net/forum/search.php?me#########################################
- we####daypage.net/forum/search.php?me#########################################
- se###age.net/forum/search.php?me#########################################
- fo###since.net/forum/search.php?me#########################################
- af###since.net/forum/search.php?me#########################################
- fo###heat.net/forum/search.php?me#########################################
- af###page.net/forum/search.php?me#########################################
- we####dayhappy.net/forum/search.php?me#########################################
- se###appy.net/forum/search.php?me#########################################
- fo###page.net/forum/search.php?me#########################################
UDP:
- DNS ASK fi###five.net
- DNS ASK qu###voice.net
- DNS ASK fi###voice.net
- DNS ASK qu###five.net
- DNS ASK fi###they.net
- DNS ASK qu###eight.net
- DNS ASK fi###eight.net
- DNS ASK na###eat.net
- DNS ASK dr###heat.net
- DNS ASK na###appy.net
- DNS ASK dr###since.net
- DNS ASK na###age.net
- DNS ASK dr###page.net
- DNS ASK na###ince.net
- DNS ASK qu###they.net
- DNS ASK fa###oice.net
- DNS ASK le###voice.net
- DNS ASK ga###hey.net
- DNS ASK le###five.net
- DNS ASK fa###ight.net
- DNS ASK le###eight.net
- DNS ASK fa###ive.net
- DNS ASK bo###ive.net
- DNS ASK ga###oice.net
- DNS ASK bo###oice.net
- DNS ASK ga###ive.net
- DNS ASK bo###hey.net
- DNS ASK ga###ight.net
- DNS ASK bo###ight.net
- DNS ASK th####hcountry.net
- DNS ASK li####appear.net
- DNS ASK re####erpaint.net
- DNS ASK we###age.net
- DNS ASK af###heat.net
- DNS ASK fo###happy.net
- DNS ASK af###happy.net
- DNS ASK mi####lossary.net
- DNS ASK ta###fruit.net
- DNS ASK st###march.net
- DNS ASK re####eneither.net
- DNS ASK ne####arydress.net
- DNS ASK gl###health.net
- DNS ASK ge####friend.net
- DNS ASK se###ince.net
- DNS ASK we####dayheat.net
- DNS ASK se###eat.net
- DNS ASK we####daysince.net
- DNS ASK dr###happy.net
- DNS ASK we####daypage.net
- DNS ASK se###age.net
- DNS ASK fo###since.net
- DNS ASK af###since.net
- DNS ASK fo###heat.net
- DNS ASK af###page.net
- DNS ASK we####dayhappy.net
- DNS ASK se###appy.net
- DNS ASK fo###page.net
- '23#.#55.255.250':1900
