Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'TPM CNG AutoConfig Adapter' = '<SYSTEM32>\trubpkgdbmg.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Secure Program Proxy Call Endpoint Drive Config] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\lrglalb.exe' "<SYSTEM32>\trubpkgdbmg.exe"
- '%WINDIR%\Temp\snmctnm2rh5sb1w.exe' -r 49907 tcp
- '%TEMP%\snmctnm2l4vsb1wehzbqoua.exe'
- '<SYSTEM32>\trubpkgdbmg.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\crgnbdsiktxj\run
- <SYSTEM32>\crgnbdsiktxj\rng
- %WINDIR%\Temp\snmctnm2rh5sb1w.exe
- <SYSTEM32>\crgnbdsiktxj\cfg
- <SYSTEM32>\lrglalb.exe
- %TEMP%\snmctnm2l4vsb1wehzbqoua.exe
- <SYSTEM32>\crgnbdsiktxj\tst
- <SYSTEM32>\trubpkgdbmg.exe
- <SYSTEM32>\crgnbdsiktxj\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\lrglalb.exe
- <SYSTEM32>\trubpkgdbmg.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\snmctnm2rh5sb1w.exe
- <DRIVERS>\etc\hosts
- %TEMP%\snmctnm2l4vsb1wehzbqoua.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'th###wedge.net':80
- 'li####sterday.net':80
- 'li###edge.net':80
- 'we###eet.net':80
- 'fe###eet.net':80
- 'li###eet.net':80
- 'th###feet.net':80
- 'th###each.net':80
- 'th####esterday.net':80
- 'li###ach.net':80
- 'ta###feet.net':80
- 'we###edge.net':80
- 'le###eet.net':80
- 'le###ach.net':80
- 'ta###each.net':80
- 'we###ach.net':80
- 'fe###ach.net':80
- 'fe####sterday.net':80
- 'fe###edge.net':80
- 'we####sterday.net':80
- 'fi###wedge.net':80
- 'po###deal.net':80
- 'ri###irst.net':80
- 'ri###hine.net':80
- 'ri###one.net':80
- 'fa###shine.net':80
- 'sa###econd.net':80
- 'si###rmy.net':80
- 'wi###new.net':80
- 'sp###study.net':80
- 'ro###new.net':80
- 'fi###each.net':80
- 'so###each.net':80
- 'so####esterday.net':80
- 'so###wedge.net':80
- 'fi####esterday.net':80
- 'ri###new.net':80
- 'fa###done.net':80
- 'fa###knew.net':80
- 'fi###feet.net':80
- 'so###feet.net':80
TCP:
Запросы HTTP GET:
- th###wedge.net/index.php?me#########################################
- li####sterday.net/index.php?me#########################################
- li###edge.net/index.php?me#########################################
- we###eet.net/index.php?me#########################################
- fe###eet.net/index.php?me#########################################
- li###eet.net/index.php?me#########################################
- th###feet.net/index.php?me#########################################
- th###each.net/index.php?me#########################################
- th####esterday.net/index.php?me#########################################
- li###ach.net/index.php?me#########################################
- ta###feet.net/index.php?me#########################################
- we###edge.net/index.php?me#########################################
- le###eet.net/index.php?me#########################################
- le###ach.net/index.php?me#########################################
- ta###each.net/index.php?me#########################################
- we###ach.net/index.php?me#########################################
- fe###ach.net/index.php?me#########################################
- fe####sterday.net/index.php?me#########################################
- fe###edge.net/index.php?me#########################################
- we####sterday.net/index.php?me#########################################
- fi###wedge.net/index.php?me#########################################
- po###deal.net/index.php?me#########################################
- ri###irst.net/index.php?me#########################################
- ri###hine.net/index.php?me#########################################
- ri###one.net/index.php?me#########################################
- fa###shine.net/index.php?me#########################################
- sa###econd.net/index.php?me#########################################
- si###rmy.net/index.php?me#########################################
- wi###new.net/index.php?me#########################################
- sp###study.net/index.php?me#########################################
- ro###new.net/index.php?me#########################################
- fi###each.net/index.php?me#########################################
- so###each.net/index.php?me#########################################
- so####esterday.net/index.php?me#########################################
- so###wedge.net/index.php?me#########################################
- fi####esterday.net/index.php?me#########################################
- ri###new.net/index.php?me#########################################
- fa###done.net/index.php?me#########################################
- fa###knew.net/index.php?me#########################################
- fi###feet.net/index.php?me#########################################
- so###feet.net/index.php?me#########################################
UDP:
- DNS ASK li####sterday.net
- DNS ASK th####esterday.net
- DNS ASK th###wedge.net
- DNS ASK fe###eet.net
- DNS ASK li###edge.net
- DNS ASK th###feet.net
- DNS ASK fi###wedge.net
- DNS ASK li###eet.net
- DNS ASK li###ach.net
- DNS ASK th###each.net
- DNS ASK we###eet.net
- DNS ASK ta###feet.net
- DNS ASK we###edge.net
- DNS ASK le###eet.net
- DNS ASK le###ach.net
- DNS ASK ta###each.net
- DNS ASK we###ach.net
- DNS ASK fe###ach.net
- DNS ASK fe####sterday.net
- DNS ASK fe###edge.net
- DNS ASK we####sterday.net
- DNS ASK so###wedge.net
- DNS ASK ri###irst.net
- DNS ASK sp###study.net
- DNS ASK po###deal.net
- DNS ASK fa###shine.net
- DNS ASK ri###hine.net
- DNS ASK so###blood.net
- DNS ASK si###rmy.net
- DNS ASK sa###econd.net
- DNS ASK ro###new.net
- DNS ASK wi###new.net
- DNS ASK so###each.net
- DNS ASK fi###feet.net
- DNS ASK fi###each.net
- DNS ASK fi####esterday.net
- DNS ASK so####esterday.net
- DNS ASK fa###done.net
- DNS ASK ri###one.net
- DNS ASK ri###new.net
- DNS ASK so###feet.net
- DNS ASK fa###knew.net
- '23#.#55.255.250':1900
