Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Multimedia Now Fax Remote Superfetch ActiveX' = '<SYSTEM32>\pmtrthvvgzte.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Class Cryptographic Visual Locator] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\tfaymgpr.exe' "<SYSTEM32>\pmtrthvvgzte.exe"
- '%WINDIR%\Temp\g8jt4p3idhbs.exe' -r 21001 tcp
- '%TEMP%\g8jt4p389bbscbubxr.exe'
- '<SYSTEM32>\pmtrthvvgzte.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\wdjlrvgibaob\run
- <SYSTEM32>\wdjlrvgibaob\rng
- %WINDIR%\Temp\g8jt4p3idhbs.exe
- <SYSTEM32>\wdjlrvgibaob\cfg
- <SYSTEM32>\tfaymgpr.exe
- %TEMP%\g8jt4p389bbscbubxr.exe
- <SYSTEM32>\wdjlrvgibaob\tst
- <SYSTEM32>\pmtrthvvgzte.exe
- <SYSTEM32>\wdjlrvgibaob\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\tfaymgpr.exe
- <SYSTEM32>\pmtrthvvgzte.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\g8jt4p3idhbs.exe
- <DRIVERS>\etc\hosts
- %TEMP%\g8jt4p389bbscbubxr.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'mi###uide.net':80
- 'tr###name.net':80
- 'tr###guide.net':80
- 'tr###late.net':80
- 'mi###ate.net':80
- 'da###nly.net':80
- 'cl###only.net':80
- 'mi###alf.net':80
- 'mi###ame.net':80
- 'tr###half.net':80
- 'wi###alf.net':80
- 'du###ate.net':80
- 'wi###ate.net':80
- 'th###half.net':80
- 'th###name.net':80
- 'si###half.net':80
- 'wi###ame.net':80
- 'du###alf.net':80
- 'du###ame.net':80
- 'du###uide.net':80
- 'wi###uide.net':80
- 'mo###nly.net':80
- 'su###yonly.net':80
- 'me###eel.net':80
- 'me###igh.net':80
- 'si###eel.net':80
- 'af###sllc.com':80
- 'ri###nstorm.net':80
- 'be##lxc.com':80
- 'mo###olor.net':80
- 'de###lxc.com':80
- 'si###igh.net':80
- 'cl###high.net':80
- 'da###eel.net':80
- 'da###igh.net':80
- 'da###olor.net':80
- 'cl###color.net':80
- 'si###olor.net':80
- 'me###olor.net':80
- 'me###nly.net':80
- 'cl###feel.net':80
- 'si###nly.net':80
TCP:
Запросы HTTP GET:
- http://mi###uide.net/index.php
- http://tr###name.net/index.php
- http://tr###guide.net/index.php
- http://tr###late.net/index.php
- http://mi###ate.net/index.php
- http://da###nly.net/index.php
- http://cl###only.net/index.php
- http://mi###alf.net/index.php
- http://mi###ame.net/index.php
- http://tr###half.net/index.php
- http://wi###alf.net/index.php
- http://du###ate.net/index.php
- http://wi###ate.net/index.php
- http://th###half.net/index.php
- http://th###name.net/index.php
- http://si###half.net/index.php
- http://wi###ame.net/index.php
- http://du###alf.net/index.php
- http://du###ame.net/index.php
- http://du###uide.net/index.php
- http://wi###uide.net/index.php
- http://mo###nly.net/index.php
- http://su###yonly.net/index.php
- http://me###eel.net/index.php
- http://me###igh.net/index.php
- http://si###eel.net/index.php
- http://af###sllc.com/index.php
- http://ri###nstorm.net/index.php
- http://be##lxc.com/index.php
- http://mo###olor.net/index.php
- http://de###lxc.com/index.php
- http://si###igh.net/index.php
- http://cl###high.net/index.php
- http://da###eel.net/index.php
- http://da###igh.net/index.php
- http://da###olor.net/index.php
- http://cl###color.net/index.php
- http://si###olor.net/index.php
- http://me###olor.net/index.php
- http://me###nly.net/index.php
- http://cl###feel.net/index.php
- http://si###nly.net/index.php
UDP:
- DNS ASK mi###uide.net
- DNS ASK tr###name.net
- DNS ASK tr###guide.net
- DNS ASK tr###late.net
- DNS ASK mi###ate.net
- DNS ASK da###nly.net
- DNS ASK cl###only.net
- DNS ASK mi###alf.net
- DNS ASK mi###ame.net
- DNS ASK tr###half.net
- DNS ASK wi###alf.net
- DNS ASK du###ate.net
- DNS ASK wi###ate.net
- DNS ASK th###half.net
- DNS ASK th###name.net
- DNS ASK si###half.net
- DNS ASK wi###ame.net
- DNS ASK du###alf.net
- DNS ASK du###ame.net
- DNS ASK du###uide.net
- DNS ASK wi###uide.net
- DNS ASK da###olor.net
- DNS ASK mo###nly.net
- DNS ASK su###yonly.net
- DNS ASK me###eel.net
- DNS ASK me###igh.net
- DNS ASK si###eel.net
- DNS ASK af###sllc.com
- DNS ASK ri###nstorm.net
- DNS ASK be##lxc.com
- DNS ASK mo###olor.net
- DNS ASK de###lxc.com
- DNS ASK da###eel.net
- DNS ASK cl###feel.net
- DNS ASK cl###high.net
- DNS ASK cl###color.net
- DNS ASK da###igh.net
- DNS ASK me###olor.net
- DNS ASK si###igh.net
- DNS ASK si###olor.net
- DNS ASK si###nly.net
- DNS ASK me###nly.net
- '23#.#55.255.250':1900
