Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Auto-Discovery Shell Upgrade CardSpace Font Layer' = '<SYSTEM32>\tdhtzvkl.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Tablet Propagation Now Keying Sharing] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\kxbxrkfcbti.exe' "<SYSTEM32>\tdhtzvkl.exe"
- '%WINDIR%\Temp\odupotnh2zsncmns.exe' -r 41323 tcp
- '%TEMP%\odupotnh2wndcmnswtkt9nzn.exe'
- '<SYSTEM32>\tdhtzvkl.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\sadjomyi\run
- <SYSTEM32>\sadjomyi\rng
- %WINDIR%\Temp\odupotnh2zsncmns.exe
- <SYSTEM32>\sadjomyi\cfg
- <SYSTEM32>\kxbxrkfcbti.exe
- %TEMP%\odupotnh2wndcmnswtkt9nzn.exe
- <SYSTEM32>\sadjomyi\tst
- <SYSTEM32>\tdhtzvkl.exe
- <SYSTEM32>\sadjomyi\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\kxbxrkfcbti.exe
- <SYSTEM32>\tdhtzvkl.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\odupotnh2zsncmns.exe
- %TEMP%\odupotnh2wndcmnswtkt9nzn.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'al####omorrow.net':80
- 'de#####rtomorrow.net':80
- 'de####erlower.net':80
- 'fr###ykiss.net':80
- 'al###lower.net':80
- 'al###wide.net':80
- 'lo###bout.net':80
- 'so###bout.net':80
- 'de####erkiss.net':80
- 'de####erwide.net':80
- 'al###kiss.net':80
- 'pu###iss.net':80
- 'sh###kiss.net':80
- 'de###iss.net':80
- 'de###ide.net':80
- 'de####morrow.net':80
- 'sh###wide.net':80
- 'pu###ower.net':80
- 'pu###ide.net':80
- 'fr###ywide.net':80
- 'fr####tomorrow.net':80
- 'fr###ylower.net':80
- 'pu####morrow.net':80
- 'lo###hild.net':80
- 'st###child.net':80
- 'ba###hild.net':80
- 'ba###bout.net':80
- 'sa###lace.net':80
- 'st###about.net':80
- 'st###into.net':80
- 'en###about.net':80
- 'li###bout.net':80
- 'ba###lace.net':80
- 'ba###nto.net':80
- 'st###place.net':80
- 'wh###place.net':80
- 'lo###lace.net':80
- 'so###lace.net':80
- 'so###nto.net':80
- 'so###hild.net':80
- 'lo###nto.net':80
- 'wh###about.net':80
- 'wh###into.net':80
- 'sa###nto.net':80
- 'sa###hild.net':80
- 'sa###bout.net':80
- 'wh###child.net':80
- 'sh####omorrow.net':80
- 'wh####omorrow.net':80
- 'sa####morrow.net':80
- 'sa###ower.net':80
- 'so###iss.net':80
- 'wh###lower.net':80
- 'wh###wide.net':80
- 'st###lower.net':80
- 'ba###ower.net':80
- 'sa###iss.net':80
- 'sa###ide.net':80
- 'wh###kiss.net':80
- 'lo###iss.net':80
- 'qu###tell.net':80
- 'we####dayhalf.net':80
- 'so###nder.net':80
- 'ab###ead.net':80
- 'en###guess.net':80
- 'mo###rest.net':80
- 'mu###appy.net':80
- 'so###ide.net':80
- 'se###sound.net':80
- 'dr####hirteen.net':80
- 'fa###oat.net':80
- 'st####omorrow.net':80
- 'mo####omorrow.net':80
- 'ti####morrow.net':80
- 'ti###ower.net':80
- 'li###iss.net':80
- 'mo###lower.net':80
- 'mo###wide.net':80
- 'sh###lower.net':80
- 'de###ower.net':80
- 'ti###iss.net':80
- 'ti###ide.net':80
- 'mo###kiss.net':80
- 'en###kiss.net':80
- 'st###kiss.net':80
- 'ba###iss.net':80
- 'ba###ide.net':80
- 'ba####morrow.net':80
- 'st###wide.net':80
- 'en###lower.net':80
- 'en###wide.net':80
- 'li###ide.net':80
- 'li####morrow.net':80
- 'li###ower.net':80
- 'en####omorrow.net':80
TCP:
Запросы HTTP GET:
- al####omorrow.net/index.php?me################################################
- de#####rtomorrow.net/index.php?me################################################
- de####erlower.net/index.php?me################################################
- fr###ykiss.net/index.php?me################################################
- al###lower.net/index.php?me################################################
- al###wide.net/index.php?me################################################
- lo###bout.net/index.php?me################################################
- so###bout.net/index.php?me################################################
- de####erkiss.net/index.php?me################################################
- de####erwide.net/index.php?me################################################
- al###kiss.net/index.php?me################################################
- pu###iss.net/index.php?me################################################
- sh###kiss.net/index.php?me################################################
- de###iss.net/index.php?me################################################
- de###ide.net/index.php?me################################################
- de####morrow.net/index.php?me################################################
- sh###wide.net/index.php?me################################################
- pu###ower.net/index.php?me################################################
- pu###ide.net/index.php?me################################################
- fr###ywide.net/index.php?me################################################
- fr####tomorrow.net/index.php?me################################################
- fr###ylower.net/index.php?me################################################
- pu####morrow.net/index.php?me################################################
- lo###hild.net/index.php?me################################################
- st###child.net/index.php?me################################################
- ba###hild.net/index.php?me################################################
- ba###bout.net/index.php?me################################################
- sa###lace.net/index.php?me################################################
- st###about.net/index.php?me################################################
- st###into.net/index.php?me################################################
- en###about.net/index.php?me################################################
- li###bout.net/index.php?me################################################
- ba###lace.net/index.php?me################################################
- ba###nto.net/index.php?me################################################
- st###place.net/index.php?me################################################
- wh###place.net/index.php?me################################################
- lo###lace.net/index.php?me################################################
- so###lace.net/index.php?me################################################
- so###nto.net/index.php?me################################################
- so###hild.net/index.php?me################################################
- lo###nto.net/index.php?me################################################
- wh###about.net/index.php?me################################################
- wh###into.net/index.php?me################################################
- sa###nto.net/index.php?me################################################
- sa###hild.net/index.php?me################################################
- sa###bout.net/index.php?me################################################
- wh###child.net/index.php?me################################################
- sh####omorrow.net/index.php?me################################################
- wh####omorrow.net/index.php?me################################################
- sa####morrow.net/index.php?me################################################
- sa###ower.net/index.php?me################################################
- so###iss.net/index.php?me################################################
- wh###lower.net/index.php?me################################################
- wh###wide.net/index.php?me################################################
- st###lower.net/index.php?me################################################
- ba###ower.net/index.php?me################################################
- sa###iss.net/index.php?me################################################
- sa###ide.net/index.php?me################################################
- wh###kiss.net/index.php?me################################################
- lo###iss.net/index.php?me################################################
- qu###tell.net/index.php?me################################################
- we####dayhalf.net/index.php?me################################################
- so###nder.net/index.php?me################################################
- ab###ead.net/index.php?me################################################
- en###guess.net/index.php?me################################################
- mo###rest.net/index.php?me################################################
- mu###appy.net/index.php?me################################################
- so###ide.net/index.php?me################################################
- se###sound.net/index.php?me################################################
- dr####hirteen.net/index.php?me################################################
- fa###oat.net/index.php?me################################################
- st####omorrow.net/index.php?me################################################
- mo####omorrow.net/index.php?me################################################
- ti####morrow.net/index.php?me################################################
- ti###ower.net/index.php?me################################################
- li###iss.net/index.php?me################################################
- mo###lower.net/index.php?me################################################
- mo###wide.net/index.php?me################################################
- sh###lower.net/index.php?me################################################
- de###ower.net/index.php?me################################################
- ti###iss.net/index.php?me################################################
- ti###ide.net/index.php?me################################################
- mo###kiss.net/index.php?me################################################
- en###kiss.net/index.php?me################################################
- st###kiss.net/index.php?me################################################
- ba###iss.net/index.php?me################################################
- ba###ide.net/index.php?me################################################
- ba####morrow.net/index.php?me################################################
- st###wide.net/index.php?me################################################
- en###lower.net/index.php?me################################################
- en###wide.net/index.php?me################################################
- li###ide.net/index.php?me################################################
- li####morrow.net/index.php?me################################################
- li###ower.net/index.php?me################################################
- en####omorrow.net/index.php?me################################################
UDP:
- DNS ASK de####erlower.net
- DNS ASK al####omorrow.net
- DNS ASK de#####rtomorrow.net
- DNS ASK pu###iss.net
- DNS ASK fr###ykiss.net
- DNS ASK al###lower.net
- DNS ASK de####erkiss.net
- DNS ASK lo###bout.net
- DNS ASK so###bout.net
- DNS ASK al###wide.net
- DNS ASK de####erwide.net
- DNS ASK al###kiss.net
- DNS ASK de###ide.net
- DNS ASK sh###kiss.net
- DNS ASK de###iss.net
- DNS ASK sh####omorrow.net
- DNS ASK de####morrow.net
- DNS ASK sh###wide.net
- DNS ASK fr####tomorrow.net
- DNS ASK pu###ide.net
- DNS ASK fr###ywide.net
- DNS ASK pu###ower.net
- DNS ASK fr###ylower.net
- DNS ASK pu####morrow.net
- DNS ASK ba###bout.net
- DNS ASK st###child.net
- DNS ASK ba###hild.net
- DNS ASK wh###place.net
- DNS ASK sa###lace.net
- DNS ASK st###about.net
- DNS ASK ba###lace.net
- DNS ASK en###about.net
- DNS ASK li###bout.net
- DNS ASK st###into.net
- DNS ASK ba###nto.net
- DNS ASK st###place.net
- DNS ASK so###nto.net
- DNS ASK lo###lace.net
- DNS ASK so###lace.net
- DNS ASK lo###hild.net
- DNS ASK so###hild.net
- DNS ASK lo###nto.net
- DNS ASK sa###hild.net
- DNS ASK wh###into.net
- DNS ASK sa###nto.net
- DNS ASK wh###about.net
- DNS ASK sa###bout.net
- DNS ASK wh###child.net
- DNS ASK wh####omorrow.net
- DNS ASK sa####morrow.net
- DNS ASK sa###ower.net
- DNS ASK so###iss.net
- DNS ASK wh###lower.net
- DNS ASK wh###wide.net
- DNS ASK st###lower.net
- DNS ASK ba###ower.net
- DNS ASK sa###iss.net
- DNS ASK sa###ide.net
- DNS ASK wh###kiss.net
- DNS ASK lo###iss.net
- DNS ASK qu###tell.net
- DNS ASK we####dayhalf.net
- DNS ASK so###nder.net
- DNS ASK ab###ead.net
- DNS ASK en###guess.net
- DNS ASK mo###rest.net
- DNS ASK mu###appy.net
- DNS ASK so###ide.net
- DNS ASK se###sound.net
- DNS ASK dr####hirteen.net
- DNS ASK fa###oat.net
- DNS ASK st####omorrow.net
- DNS ASK mo####omorrow.net
- DNS ASK ti####morrow.net
- DNS ASK ti###ower.net
- DNS ASK li###iss.net
- DNS ASK mo###lower.net
- DNS ASK mo###wide.net
- DNS ASK sh###lower.net
- DNS ASK de###ower.net
- DNS ASK ti###iss.net
- DNS ASK ti###ide.net
- DNS ASK mo###kiss.net
- DNS ASK en###kiss.net
- DNS ASK st###kiss.net
- DNS ASK ba###iss.net
- DNS ASK ba###ide.net
- DNS ASK ba####morrow.net
- DNS ASK st###wide.net
- DNS ASK en###lower.net
- DNS ASK en###wide.net
- DNS ASK li###ide.net
- DNS ASK li####morrow.net
- DNS ASK li###ower.net
- DNS ASK en####omorrow.net
- '23#.#55.255.250':1900
