Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Reports CNG Debugger Visual Distributed Group WMI' = '%APPDATA%\kompeledzi\ncrwxthi.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\kompeledzi\enkvrthb.exe' "%APPDATA%\kompeledzi\ncrwxthi.exe"
- '%APPDATA%\kompeledzi\ncrwxthi.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\kompeledzi\ncrwxthi.gk
- %APPDATA%\kompeledzi\enkvrthb.exe
- %APPDATA%\kompeledzi\ncrwxthi.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\kompeledzi\ncrwxthi.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'se####laction.net':80
- 'ma####alaction.net':80
- 'ma####almethod.net':80
- 'pr####lybrought.net':80
- 'se####lmethod.net':80
- 'ma####albrought.net':80
- 'se###aspeak.net':80
- 'se####lbrought.net':80
- 'se####ldirect.net':80
- 'ma####aldirect.net':80
- 'sw###method.net':80
- 'pr####lymethod.net':80
- 'le####rought.net':80
- 'le###direct.net':80
- 'fi####brought.net':80
- 'pr####lydirect.net':80
- 'sw####rought.net':80
- 'sw###direct.net':80
- 'sw###action.net':80
- 'pr####lyaction.net':80
TCP:
Запросы HTTP GET:
- http://se####laction.net/index.php?em###########################################
- http://ma####alaction.net/index.php?em###########################################
- http://ma####almethod.net/index.php?em###########################################
- http://pr####lybrought.net/index.php?em###########################################
- http://se####lmethod.net/index.php?em###########################################
- http://ma####albrought.net/index.php?em###########################################
- http://se###aspeak.net/index.php?em###########################################
- http://se####lbrought.net/index.php?em###########################################
- http://se####ldirect.net/index.php?em###########################################
- http://ma####aldirect.net/index.php?em###########################################
- http://sw###method.net/index.php?em###########################################
- http://pr####lymethod.net/index.php?em###########################################
- http://le####rought.net/index.php?em###########################################
- http://le###direct.net/index.php?em###########################################
- http://fi####brought.net/index.php?em###########################################
- http://pr####lydirect.net/index.php?em###########################################
- http://sw####rought.net/index.php?em###########################################
- http://sw###direct.net/index.php?em###########################################
- http://sw###action.net/index.php?em###########################################
- http://pr####lyaction.net/index.php?em###########################################
UDP:
- DNS ASK ma####alaction.net
- DNS ASK se####ldirect.net
- DNS ASK se####laction.net
- DNS ASK se####lmethod.net
- DNS ASK ma####almethod.net
- DNS ASK se###aspeak.net
- DNS ASK la###speak.net
- DNS ASK ma####albrought.net
- DNS ASK ma####aldirect.net
- DNS ASK se####lbrought.net
- DNS ASK pr####lybrought.net
- DNS ASK sw###method.net
- DNS ASK pr####lymethod.net
- DNS ASK le####rought.net
- DNS ASK le###direct.net
- DNS ASK fi####brought.net
- DNS ASK pr####lydirect.net
- DNS ASK sw####rought.net
- DNS ASK sw###direct.net
- DNS ASK sw###action.net
- DNS ASK pr####lyaction.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
