Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Shell Event CNG Grouping Input' = '<SYSTEM32>\swtpmcmnzbq.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\COM Topology Certificate Service] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\lmkcvkz.exe' "<SYSTEM32>\swtpmcmnzbq.exe"
- '%WINDIR%\Temp\zyrncsn3efzpgl.exe' -r 52287 tcp
- '%TEMP%\zyrncsn3bv3pglvpbvqakn.exe'
- '<SYSTEM32>\swtpmcmnzbq.exe'
Запускает на исполнение:
- '<SYSTEM32>\alg.exe' 2836
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\wxgotjjmlyqw\run
- <SYSTEM32>\wxgotjjmlyqw\rng
- <SYSTEM32>\wxgotjjmlyqw\cfg
- <Служебный элемент>
- %WINDIR%\Temp\zyrncsn3efzpgl.exe
- %TEMP%\zyrncsn3bv3pglvpbvqakn.exe
- <SYSTEM32>\wxgotjjmlyqw\tst
- <SYSTEM32>\wxgotjjmlyqw\etc
- <SYSTEM32>\lmkcvkz.exe
- <SYSTEM32>\swtpmcmnzbq.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\lmkcvkz.exe
- <SYSTEM32>\swtpmcmnzbq.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\zyrncsn3efzpgl.exe
- %TEMP%\zyrncsn3bv3pglvpbvqakn.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'ri###gree.net':80
- 'fa###form.net':80
- 'fa###agree.net':80
- 'fa###touch.net':80
- 'ri###ouch.net':80
- 'we###gree.net':80
- 'we###orm.net':80
- 'we###ouch.net':80
- 'ri###orm.net':80
- 'we###ord.net':80
- 'ri###ord.net':80
- 'fi###make.net':80
- 'so###make.net':80
- 'so###rush.net':80
- 'th###hard.net':80
- 'fi###rush.net':80
- 'so###hard.net':80
- 'fa###word.net':80
- 'fi###hard.net':80
- 'fi###clock.net':80
- 'so###clock.net':80
- 'ne####arydress.net':80
- 'gl###health.net':80
- 're####erpaint.net':80
- 'th####hcountry.net':80
- 'li####appear.net':80
- 'ta###fruit.net':80
- 'st###march.net':80
- 'mi####lossary.net':80
- 'ge####friend.net':80
- 're####eneither.net':80
- 'ca###ouch.net':80
- 'no###ouch.net':80
- 'li###gree.net':80
- 'li###ouch.net':80
- 'li###ord.net':80
- 'no###ord.net':80
- 'ca###ord.net':80
- 'po###word.net':80
- 'no###orm.net':80
- 'no###gree.net':80
- 'li###orm.net':80
TCP:
Запросы HTTP GET:
- http://ri###gree.net/forum/search.php?me#########################################
- http://fa###form.net/forum/search.php?me#########################################
- http://fa###agree.net/forum/search.php?me#########################################
- http://fa###touch.net/forum/search.php?me#########################################
- http://ri###ouch.net/forum/search.php?me#########################################
- http://we###gree.net/forum/search.php?me#########################################
- http://we###orm.net/forum/search.php?me#########################################
- http://we###ouch.net/forum/search.php?me#########################################
- http://ri###orm.net/forum/search.php?me#########################################
- http://we###ord.net/forum/search.php?me#########################################
- http://ri###ord.net/forum/search.php?me#########################################
- http://fi###make.net/forum/search.php?me#########################################
- http://so###make.net/forum/search.php?me#########################################
- http://so###rush.net/forum/search.php?me#########################################
- http://th###hard.net/forum/search.php?me#########################################
- http://fi###rush.net/forum/search.php?me#########################################
- http://so###hard.net/forum/search.php?me#########################################
- http://fa###word.net/forum/search.php?me#########################################
- http://fi###hard.net/forum/search.php?me#########################################
- http://fi###clock.net/forum/search.php?me#########################################
- http://so###clock.net/forum/search.php?me#########################################
- http://ne####arydress.net/forum/search.php?me#########################################
- http://gl###health.net/forum/search.php?me#########################################
- http://re####erpaint.net/forum/search.php?me#########################################
- http://th####hcountry.net/forum/search.php?me#########################################
- http://li####appear.net/forum/search.php?me#########################################
- http://ta###fruit.net/forum/search.php?me#########################################
- http://st###march.net/forum/search.php?me#########################################
- http://mi####lossary.net/forum/search.php?me#########################################
- http://ge####friend.net/forum/search.php?me#########################################
- http://re####eneither.net/forum/search.php?me#########################################
- http://ca###ouch.net/forum/search.php?me#########################################
- http://no###ouch.net/forum/search.php?me#########################################
- http://li###gree.net/forum/search.php?me#########################################
- http://li###ouch.net/forum/search.php?me#########################################
- http://li###ord.net/forum/search.php?me#########################################
- http://no###ord.net/forum/search.php?me#########################################
- http://ca###ord.net/forum/search.php?me#########################################
- http://po###word.net/forum/search.php?me#########################################
- http://no###orm.net/forum/search.php?me#########################################
- http://no###gree.net/forum/search.php?me#########################################
- http://li###orm.net/forum/search.php?me#########################################
UDP:
- DNS ASK fa###agree.net
- DNS ASK ri###gree.net
- DNS ASK ri###ouch.net
- DNS ASK ri###ord.net
- DNS ASK fa###touch.net
- DNS ASK fa###form.net
- DNS ASK we###gree.net
- DNS ASK we###orm.net
- DNS ASK we###ouch.net
- DNS ASK ri###orm.net
- DNS ASK we###ord.net
- DNS ASK so###rush.net
- DNS ASK fi###make.net
- DNS ASK fi###rush.net
- DNS ASK li###ard.net
- DNS ASK th###hard.net
- DNS ASK so###make.net
- DNS ASK so###hard.net
- DNS ASK fa###word.net
- DNS ASK fi###hard.net
- DNS ASK fi###clock.net
- DNS ASK so###clock.net
- DNS ASK ne####arydress.net
- DNS ASK gl###health.net
- DNS ASK re####erpaint.net
- DNS ASK th####hcountry.net
- DNS ASK li####appear.net
- DNS ASK ta###fruit.net
- DNS ASK st###march.net
- DNS ASK mi####lossary.net
- DNS ASK ge####friend.net
- DNS ASK re####eneither.net
- DNS ASK ca###ouch.net
- DNS ASK no###ouch.net
- DNS ASK li###gree.net
- DNS ASK li###ouch.net
- DNS ASK li###ord.net
- DNS ASK no###ord.net
- DNS ASK ca###ord.net
- DNS ASK po###word.net
- DNS ASK no###orm.net
- DNS ASK no###gree.net
- DNS ASK li###orm.net
- '23#.#55.255.250':1900
