Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] '3100924223' = '%ALLUSERSPROFILE%\msibszk.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d9' = '%APPDATA%\1e6f17d9.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d' = 'C:\1e6f17d9\1e6f17d9.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\1e6f17d9.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует:
- Компонент восстановления системы (SR)
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%TEMP%\3.tmp'
- '%TEMP%\2.tmp'
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' netsvcs
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\msiexec.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\1e6f17d9\1e6f17d9.exe
- %APPDATA%\1e6f17d9.exe
- %TEMP%\2.tmp
- %TEMP%\3.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\msibszk.exe
Перемещает следующие файлы:
- %TEMP%\3.tmp в %ALLUSERSPROFILE%\msibszk.exe
Сетевая активность:
Подключается к:
- 'ca#####n-guvenlik.com':80
- 'bn##9.com':80
- 'in###world.com':80
- 'bi###iet.com':80
- 'az###soft.com':80
- 'dr###italmd.com':80
- 'se##am.com':80
- 'sh##k09.com':80
- 'sa###cyber.com':80
- 'ba###hon.com':80
- 'ou#####ateonline.com':80
- 'tr##a.com':80
- 'st####oosphoto.com':80
- 'ju###a-ng.com':80
- 'bi###xbjx.com':80
- 'so###chae.com':80
- 'yo#####ofreshional.com':80
- 'as###ian.com':80
- 'cu###yip.com':80
- '90.###fband.info':80
- 'fc####iaunited.com':80
- 'sh####ngblue.net':80
- '20#.#6.232.182':80
- 'my####rnalip.com':80
- 'ip##ddr.es':80
- 'hi###ndtile.net':80
- 'fe######hnungen-diana.com':80
- 'eh#c.us':80
- 'iu####alaria.org':80
- 'bu#####uslim-online.com':80
- 'wa###hurch.com':80
- 'fu##ng8.com':80
- 'bi####easset.com':80
- 'fi###ade.com':80
TCP:
Запросы HTTP GET:
- http://cu###yip.com/
- http://my####rnalip.com/raw
- http://ip##ddr.es/
Запросы HTTP POST:
- http://fe######hnungen-diana.com/img1.php?g=###############
- http://eh#c.us/img4.php?k=###############
- http://bi####easset.com/img5.php?k=###############
- http://bu#####uslim-online.com/img5.php?v=###############
- http://az###soft.com/img1.php?n=###############
- http://dr###italmd.com/img1.php?r=###############
- http://iu####alaria.org/img5.php?z=###############
- http://90.###fband.info/img1.php?c=###############
- http://fc####iaunited.com/img5.php?v=###############
- http://as###ian.com/img1.php?x=###############
- http://hi###ndtile.net/img3.php?a=###############
- http://fi###ade.com/img2.php?l=###############
- http://wa###hurch.com/img2.php?e=###############
- http://fu##ng8.com/img5.php?g=###############
- http://sh##k09.com/img2.php?c=###############
- http://so###chae.com/img4.php?j=###############
- http://yo#####ofreshional.com/img1.php?q=###############
- http://ju###a-ng.com/img5.php?n=###############
- http://ou#####ateonline.com/img3.php?o=###############
- http://tr##a.com/img3.php?n=###############
- http://st####oosphoto.com/img4.php?s=###############
- http://ba###hon.com/img2.php?s=###############
- http://ca#####n-guvenlik.com/img4.php?e=###############
- http://bn##9.com/img3.php?k=###############
- http://se##am.com/img4.php?a=###############
- http://bi###iet.com/img1.php?p=###############
- http://bi###xbjx.com/img2.php?j=###############
- http://sa###cyber.com/img2.php?p=###############
- http://in###world.com/img3.php?f=###############
- http://tr##a.com/img3.php?k=##########
- http://eh#c.us/img4.php?d=##########
- http://bi####easset.com/img5.php?m=##########
- http://fi###ade.com/img2.php?q=##########
- http://fe######hnungen-diana.com/img1.php?z=##########
- http://dr###italmd.com/img1.php?e=##########
- http://iu####alaria.org/img5.php?x=##########
- http://bu#####uslim-online.com/img5.php?b=##########
- http://fc####iaunited.com/img5.php?t=##########
- http://as###ian.com/img1.php?u=##########
- http://sh####ngblue.net/bio/biography.php
- http://90.###fband.info/img1.php?o=##########
- http://wa###hurch.com/img2.php?w=##########
- http://fu##ng8.com/img5.php?x=##########
- http://hi###ndtile.net/img3.php?y=##########
- http://az###soft.com/img1.php?q=##########
- http://yo#####ofreshional.com/img1.php?g=##########
- http://ju###a-ng.com/img5.php?l=##########
- http://bi###xbjx.com/img2.php?b=##########
- http://so###chae.com/img4.php?r=##########
- http://st####oosphoto.com/img4.php?l=##########
- http://ba###hon.com/img2.php?h=##########
- http://ou#####ateonline.com/img3.php?z=##########
- http://bn##9.com/img3.php?j=##########
- http://se##am.com/img4.php?a=##########
- http://sh##k09.com/img2.php?u=##########
- http://ca#####n-guvenlik.com/img4.php?n=##########
- http://sa###cyber.com/img2.php?f=##########
- http://in###world.com/img3.php?s=##########
- http://bi###iet.com/img1.php?i=##########
UDP:
- DNS ASK ca#####n-guvenlik.com
- DNS ASK bn##9.com
- DNS ASK in###world.com
- DNS ASK bi###iet.com
- DNS ASK se##am.com
- DNS ASK dr###italmd.com
- DNS ASK iu####alaria.org
- DNS ASK sh##k09.com
- DNS ASK az###soft.com
- DNS ASK ba###hon.com
- DNS ASK ou#####ateonline.com
- DNS ASK tr##a.com
- DNS ASK st####oosphoto.com
- DNS ASK so###chae.com
- DNS ASK bi###xbjx.com
- DNS ASK sa###cyber.com
- DNS ASK yo#####ofreshional.com
- DNS ASK ju###a-ng.com
- DNS ASK bu#####uslim-online.com
- DNS ASK cu###yip.com
- DNS ASK my####rnalip.com
- DNS ASK fc####iaunited.com
- DNS ASK as###ian.com
- DNS ASK up####.microsoft.com
- DNS ASK eu####.pool.ntp.org
- DNS ASK ip##ddr.es
- DNS ASK sh####ngblue.net
- DNS ASK bi####easset.com
- DNS ASK fi###ade.com
- DNS ASK fe######hnungen-diana.com
- DNS ASK eh#c.us
- DNS ASK hi###ndtile.net
- DNS ASK 90.###fband.info
- DNS ASK wa###hurch.com
- DNS ASK fu##ng8.com
- 'localhost':1039
- 'eu####.pool.ntp.org':123
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
