BackDoor.Andromeda.1113

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d9' = '%APPDATA%\1e6f17d9.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d' = 'C:\1e6f17d9\1e6f17d9.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\1e6f17d9.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Запускает на исполнение:

'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'<SYSTEM32>\svchost.exe' netsvcs
'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\1e6f17d9.exe
C:\1e6f17d9\1e6f17d9.exe

Сетевая активность:

Подключается к:

'sv##te.cat':80
'la#####rnetdanang.com':80
'ke####haphat.com':80
'ra##u.net':80
'd-###music.com':80
'ku###-trans.com':80
'it##.biz':80
'sl##a.bg':80
'jq###ycare.com':80
'je#######ce.zawiercie.powiat.pl':80
'av###gasten.com':80
'ge#####alidental.com':80
'te###turk.com':80
'pa###aoibf.com':80
'qi####ousheying.com':80
'sc###yllc.com':80
'sa##krk.com':80
'ru###dudak.com':80
'po###atapps.com':80
'ip##ddr.es':80
'my####rnalip.com':80
'cu###yip.com':80
'mu###rucks.com':80
'li####llardemo.net':80
'sn###opping.com':80
'me###g.com.br':80
'ad###walk.com':80
'ha##c.gr':80
'bp###uli.org':80
'la####sinhvien.net':80

TCP:

Запросы HTTP GET:

http://cu###yip.com/
http://my####rnalip.com/raw
http://ip##ddr.es/

Запросы HTTP POST:

http://la#####rnetdanang.com/wp-content/plugins/jetpack/modules/widgets/gallery/css/ap4.php?w=############
http://ke####haphat.com/wp-content/plugins/revslider/css/jui/new/images/ap2.php?u=############
http://sl##a.bg/administrator/components/com_joomlaupdate/ap4.php?d=############
http://it##.biz/wp-content/plugins/social-locker/panda-items/social-locker/admin/metaboxes/ap4.php?p=############
http://ra##u.net/old/wp-content/plugins/wordbook/facebook-platform/php/jsonwrapper/ap2.php?d=############
http://sv##te.cat/ap1.php?y=############
http://te###turk.com/wp-content/plugins/wp-db-backup-made/ap5.php?m=############
http://jq###ycare.com/wp-content/themes/twentythirteen/ap4.php?w=############
http://je#######ce.zawiercie.powiat.pl/config/ap1.php?y=############
http://av###gasten.com/wp-content/plugins/wp-db-backup-made/ap1.php?g=############
http://pa###aoibf.com/images/stories/ap1.php?b=############
http://qi####ousheying.com/wp-content/plugins/wp-db-backup-made/ap3.php?y=############
http://ge#####alidental.com/wp-content/plugins/wp-db-backup-made/ap3.php?m=############
http://ku###-trans.com/wp-content/plugins/wp-db-backup-made/ap5.php?z=############
http://ru###dudak.com/wp-content/themes/imagazine/images/social/3/24/ap5.php?r=############
http://mu###rucks.com/wp-content/plugins/wpclef/assets/src/sass/bourbon/ap1.php?k=############
http://ha##c.gr/wp-content/ap3.php?n=############
http://po###atapps.com/wp-content/themes/asteria-lite/redux/assets/css/vendor/ap2.php?x=############
http://sc###yllc.com/wp-content/themes/twentytwelve/ap1.php?y=############
http://sa##krk.com/wp-content/plugins/wp-db-backup-made/ap4.php?b=############
http://bp###uli.org/wp-content/plugins/wp-db-backup-made/ap2.php?m=############
http://sn###opping.com/cache/ap2.php?y=############
http://me###g.com.br/wp-content/ap5.php?p=############
http://d-###music.com/wp-content/plugins/wp-db-backup-made/ap3.php?m=############
http://la####sinhvien.net/wp-content/plugins/better-wp-security/modules/free/brute-force/js/ap3.php?a=############
http://ad###walk.com/cache/ap5.php?t=############
http://li####llardemo.net/wp-content/plugins/wp-db-backup-made/ap4.php?x=############