Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Secure SNMP Media User DHCP iSCSI' = 'C:\hxnlgmpgsmjqn\xayabpy.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Disk Workstation Adaptive] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\hxnlgmpgsmjqn\ubfqwgzbvbs.exe' "c:\hxnlgmpgsmjqn\xayabpy.exe"
- 'C:\hxnlgmpgsmjqn\xayabpy.exe'
- 'C:\hxnlgmpgsmjqn\ypwow3gxtkazoiyvqp.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\hxnlgmpgsmjqn\xayabpy.exe
- C:\hxnlgmpgsmjqn\ubfqwgzbvbs.exe
- C:\hxnlgmpgsmjqn\acfmvqjibfeb
- %WINDIR%\hxnlgmpgsmjqn\hnfulyplgq
- C:\hxnlgmpgsmjqn\hnfulyplgq
- C:\hxnlgmpgsmjqn\ypwow3gxtkazoiyvqp.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\hxnlgmpgsmjqn\ubfqwgzbvbs.exe
- C:\hxnlgmpgsmjqn\xayabpy.exe
Удаляет следующие файлы:
- C:\hxnlgmpgsmjqn\ypwow3gxtkazoiyvqp.exe
- %WINDIR%\hxnlgmpgsmjqn\hnfulyplgq
Сетевая активность:
Подключается к:
- 're####garden.net':80
- 'de####toward.net':80
- 'fo####dtoward.net':80
- 'va####sbeauty.net':80
- 're####beauty.net':80
- 'va####sgarden.net':80
- 'fo####dmillion.net':80
- 'de###ewhite.net':80
- 'fo####dwhite.net':80
- 'de####pleasure.net':80
- 'fo####dpleasure.net':80
- 'de####million.net':80
- 're####report.net':80
- 'he###report.net':80
- 'ge####report.net':80
- 'he###beauty.net':80
- 'he####garden.net':80
- 'he###market.net':80
- 'ge####market.net':80
- 'va####smarket.net':80
- 're####market.net':80
- 'va####sreport.net':80
- 'ge####beauty.net':80
- 'he###garden.net':80
- 'ge####garden.net':80
TCP:
Запросы HTTP GET:
- http://re####garden.net/index.php?me########
- http://de####toward.net/index.php?me########
- http://fo####dtoward.net/index.php?me########
- http://va####sbeauty.net/index.php?me########
- http://re####beauty.net/index.php?me########
- http://va####sgarden.net/index.php?me########
- http://fo####dmillion.net/index.php?me########
- http://de###ewhite.net/index.php?me########
- http://fo####dwhite.net/index.php?me########
- http://de####pleasure.net/index.php?me########
- http://fo####dpleasure.net/index.php?me########
- http://de####million.net/index.php?me########
- http://re####report.net/index.php?me########
- http://he###report.net/index.php?me########
- http://ge####report.net/index.php?me########
- http://he###beauty.net/index.php?me########
- http://he####garden.net/index.php?me########
- http://he###market.net/index.php?me########
- http://ge####market.net/index.php?me########
- http://va####smarket.net/index.php?me########
- http://re####market.net/index.php?me########
- http://va####sreport.net/index.php?me########
- http://ge####beauty.net/index.php?me########
- http://he###garden.net/index.php?me########
- http://ge####garden.net/index.php?me########
UDP:
- DNS ASK re####garden.net
- DNS ASK de####toward.net
- DNS ASK fo####dtoward.net
- DNS ASK va####sbeauty.net
- DNS ASK re####beauty.net
- DNS ASK va####sgarden.net
- DNS ASK de####pleasure.net
- DNS ASK de###ewhite.net
- DNS ASK fo####dwhite.net
- DNS ASK an####toward.net
- DNS ASK fo####dpleasure.net
- DNS ASK de####million.net
- DNS ASK fo####dmillion.net
- DNS ASK he###report.net
- DNS ASK ge####report.net
- DNS ASK he###beauty.net
- DNS ASK he####garden.net
- DNS ASK he###market.net
- DNS ASK ge####market.net
- DNS ASK ge####beauty.net
- DNS ASK re####market.net
- DNS ASK va####sreport.net
- DNS ASK re####report.net
- DNS ASK he###garden.net
- DNS ASK ge####garden.net
- DNS ASK va####smarket.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
