Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Problem Search Adaptive Workstation' = '<SYSTEM32>\aajeikcno.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Launcher Tablet IKE Level] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\kswaufufe.exe' "<SYSTEM32>\aajeikcno.exe"
- '%WINDIR%\Temp\hoauqp6k3hp6snunx.exe' -r 22970 tcp
- '%TEMP%\hoauqp6k34efsnunxx3q3ecy.exe'
- '<SYSTEM32>\aajeikcno.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\ixvjpfkfwsrh\run
- <SYSTEM32>\ixvjpfkfwsrh\rng
- %WINDIR%\Temp\hoauqp6k3hp6snunx.exe
- <SYSTEM32>\ixvjpfkfwsrh\cfg
- <SYSTEM32>\kswaufufe.exe
- %TEMP%\hoauqp6k34efsnunxx3q3ecy.exe
- <SYSTEM32>\ixvjpfkfwsrh\tst
- <SYSTEM32>\aajeikcno.exe
- <SYSTEM32>\ixvjpfkfwsrh\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\kswaufufe.exe
- <SYSTEM32>\aajeikcno.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\hoauqp6k3hp6snunx.exe
- <DRIVERS>\etc\hosts
- %TEMP%\hoauqp6k34efsnunxx3q3ecy.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'mo###ure.net':80
- 'su###ypure.net':80
- 'mo###arch.net':80
- 'su###ymarch.net':80
- 'th###uly.net':80
- 'qu###dish.net':80
- 'th###arch.net':80
- 'qu###july.net':80
- 'th###ish.net':80
- 'su###ydish.net':80
- 'si###arch.net':80
- 'me###arch.net':80
- 'si###ish.net':80
- 'me###ish.net':80
- 'si###ure.net':80
- 'su###yjuly.net':80
- 'mo###ish.net':80
- 'me###ure.net':80
- 'mo###uly.net':80
- 'qu###march.net':80
- 'si###dish.net':80
- 'th###dish.net':80
- 'si###july.net':80
- 'th###july.net':80
- 'si###march.net':80
- 'af###sllc.com':80
- 'ri###nstorm.net':80
- 'de###lxc.com':80
- 'be##lxc.com':80
- 'ca###ure.net':80
- 'he###uly.net':80
- 'ca###uly.net':80
- 'th###ure.net':80
- 'qu###pure.net':80
- 'he###ish.net':80
- 'ca###arch.net':80
- 'he###ure.net':80
- 'ca###ish.net':80
- 'he###arch.net':80
TCP:
Запросы HTTP GET:
- http://mo###ure.net/index.php
- http://su###ypure.net/index.php
- http://mo###arch.net/index.php
- http://su###ymarch.net/index.php
- http://th###uly.net/index.php
- http://qu###dish.net/index.php
- http://th###arch.net/index.php
- http://qu###july.net/index.php
- http://th###ish.net/index.php
- http://su###ydish.net/index.php
- http://si###arch.net/index.php
- http://me###arch.net/index.php
- http://si###ish.net/index.php
- http://me###ish.net/index.php
- http://si###ure.net/index.php
- http://su###yjuly.net/index.php
- http://mo###ish.net/index.php
- http://me###ure.net/index.php
- http://mo###uly.net/index.php
- http://qu###march.net/index.php
- http://si###dish.net/index.php
- http://th###dish.net/index.php
- http://si###july.net/index.php
- http://th###july.net/index.php
- http://si###march.net/index.php
- http://af###sllc.com/index.php
- http://ri###nstorm.net/index.php
- http://de###lxc.com/index.php
- http://be##lxc.com/index.php
- http://ca###ure.net/index.php
- http://he###uly.net/index.php
- http://ca###uly.net/index.php
- http://th###ure.net/index.php
- http://qu###pure.net/index.php
- http://he###ish.net/index.php
- http://ca###arch.net/index.php
- http://he###ure.net/index.php
- http://ca###ish.net/index.php
- http://he###arch.net/index.php
UDP:
- DNS ASK mo###ure.net
- DNS ASK su###ypure.net
- DNS ASK su###ymarch.net
- DNS ASK su###ydish.net
- DNS ASK mo###arch.net
- DNS ASK qu###dish.net
- DNS ASK th###arch.net
- DNS ASK th###ish.net
- DNS ASK th###uly.net
- DNS ASK qu###july.net
- DNS ASK si###arch.net
- DNS ASK me###arch.net
- DNS ASK me###ish.net
- DNS ASK me###uly.net
- DNS ASK si###ish.net
- DNS ASK su###yjuly.net
- DNS ASK mo###ish.net
- DNS ASK mo###uly.net
- DNS ASK si###ure.net
- DNS ASK me###ure.net
- DNS ASK qu###march.net
- DNS ASK si###dish.net
- DNS ASK th###dish.net
- DNS ASK si###july.net
- DNS ASK th###july.net
- DNS ASK si###march.net
- DNS ASK af###sllc.com
- DNS ASK ri###nstorm.net
- DNS ASK de###lxc.com
- DNS ASK be##lxc.com
- DNS ASK ca###ure.net
- DNS ASK he###uly.net
- DNS ASK ca###uly.net
- DNS ASK th###ure.net
- DNS ASK qu###pure.net
- DNS ASK he###ish.net
- DNS ASK ca###arch.net
- DNS ASK he###ure.net
- DNS ASK ca###ish.net
- DNS ASK he###arch.net
- '23#.#55.255.250':1900
