Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение:
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ec525f4.exe
- C:\ec525f4\ec525f4.exe
Сетевая активность:
Подключается к:
- 'gr###evap.com':80
- 'sa###hah.com':80
- 'ge######njurycenters.com':80
- 'mo######statemanagement.com':80
- 're####gonzalez.com':80
- 'fu####mission.org':80
- 'ge####ercables.com':80
- 'mi####lesdelsur.com':80
- 'me###aosea.net':80
- 'sm###aky.com':80
- 'ew##eco.com':80
- 'ko#####-modellage.de':80
- 'ro####orldtours.in':80
- 'cu###yip.com':80
- 'ip##ddr.es':80
- 'my####rnalip.com':80
- 'sp###rotn.com':80
- 'go###alk.info':80
- 'he###ine365.com':80
- 'bu###tale.com':80
- 'fo####rsomaha.net':80
TCP:
Запросы HTTP GET:
- http://cu###yip.com/
- http://my####rnalip.com/raw
- http://ip##ddr.es/
Запросы HTTP POST:
- http://gr###evap.com/mtqzpa/templates/ap5.php?w=############
- http://sa###hah.com/images/Image/2.php?i=############
- http://re####gonzalez.com/compras/image/data/1.php?i=############
- http://ge######njurycenters.com/backups_georgia/back%2007102014/ap4.php?n=############
- http://me###aosea.net/wp-content/plugins/wordpress-seo/vendor/composer/installers/tests/Composer/5.php?f=############
- http://fu####mission.org/wp-includes/theme-compat/ap5.php?l=############
- http://ge####ercables.com/wp-admin/user/ap1.php?f=############
- http://sm###aky.com/pdf/3.php?f=############
- http://mi####lesdelsur.com/wp-includes/js/jcrop/3.php?g=############
- http://bu###tale.com/ilario_bordoni/assets/images/1.php?y=############
- http://fo####rsomaha.net/wp-includes/Text/Diff/Renderer/ap3.php?g=############
- http://ko#####-modellage.de/phpSitemapNG/inc/gsgxml/4.php?j=############
- http://ro####orldtours.in/js/2.php?s=############
- http://he###ine365.com/heelziggler.com/wp-content/plugins/siteorigin-panels/widgets/widgets/call-to-action/presets/1.php?f=############
- http://ew##eco.com/wp-admin/network/ap5.php?z=############
- http://mo######statemanagement.com/m/images/1.php?b=############
- http://sp###rotn.com/4.php?v=############
- http://go###alk.info/Wp/wp-content/plugins/wp-wizard-cloak/static/js/jquery/farbtastic/5.php?j=############
UDP:
- DNS ASK gr###evap.com
- DNS ASK sa###hah.com
- DNS ASK ge######njurycenters.com
- DNS ASK mo######statemanagement.com
- DNS ASK re####gonzalez.com
- DNS ASK me###aosea.net
- DNS ASK ge####ercables.com
- DNS ASK ev#####gcareers.co.uk
- DNS ASK fu####mission.org
- DNS ASK sm###aky.com
- DNS ASK mi####lesdelsur.com
- DNS ASK ko#####-modellage.de
- DNS ASK ro####orldtours.in
- DNS ASK cu###yip.com
- DNS ASK ip##ddr.es
- DNS ASK my####rnalip.com
- DNS ASK bu###tale.com
- DNS ASK go###alk.info
- DNS ASK ew##eco.com
- DNS ASK sp###rotn.com
- DNS ASK fo####rsomaha.net
- DNS ASK he###ine365.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
