Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение:
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ec525f4.exe
- C:\ec525f4\ec525f4.exe
Сетевая активность:
Подключается к:
- 'me###loto.ru':80
- 'bo#o.by':80
- 'el###rosim.ro':80
- 'xn######ckeg1db2a.xn--p1ai':80
- 'z-#n.ru':80
- 'op####unitycup.com':80
- 'if###esti.ro':80
- 'pa########tsgroomingacademy.co.uk':80
- 'dk##rma.ru':80
- 'so####re-select.nl':80
- 'ro###iznesa.ru':80
- 'at#####cequine.org.nz':80
- 'vo####rbrendan.info':80
- 'be####yourtown.info':80
- 'di####trailer.us':80
- 'ga###nddeli.com':80
- 'ay##zee.biz':80
- 'di###emodels.ru':80
- 'ca###imonte.ua':80
- 'ip##ddr.es':80
- 'my####rnalip.com':80
- 'cu###yip.com':80
- 'vo####rbrendan.mobi':80
- 'pe##as.ru':80
- 'pr####tprovider.nl':80
- 'be###tv.com.tr':80
- 'ne###nsult.by':80
- 'vo####rbrendan.me':80
- 'vo####rbrendan.biz':80
- 'qr#p.us':80
TCP:
Запросы HTTP GET:
- http://cu###yip.com/
- http://my####rnalip.com/raw
- http://ip##ddr.es/
Запросы HTTP POST:
- http://pa########tsgroomingacademy.co.uk/wp-content/plugins/slideshow-jquery-image-gallery/7sinRu.php?a=#############
- http://vo####rbrendan.info/wp-content/themes/genesis/t58Esq.php?s=#############
- http://be####yourtown.info/wp-content/themes/toommoreltheme/_pH5Ck.php?z=#############
- http://el###rosim.ro/wp-content/plugins/contact-form-7/CwR04H.php?c=#############
- http://xn######ckeg1db2a.xn--p1ai/wp-content/plugins/shortcodes-ultimate/hntNzB.php?u=#############
- http://me###loto.ru/wp-content/themes/Velluce/IzOSnD.php?n=#############
- http://bo#o.by/wp-content/plugins/akismet/O_xjRv.php?y=#############
- http://ca###imonte.ua/wp-content/plugins/cherry-plugin/D3sOjY.php?h=#############
- http://so####re-select.nl/wp-content/themes/genesis/qMfFUp.php?n=#############
- http://ro###iznesa.ru/wp-content/plugins/tw-recent-posts-widget/ILEKUM.php?k=#############
- http://dk##rma.ru/wp-content/themes/dk/Sp6u0B.php?q=#############
- http://bo#o.by/wp-content/plugins/akismet/4BWtIF.php?m=#############
- http://di####trailer.us/wp-content/plugins/advanced-excerpt/1VtP3W.php?w=#############
- http://at#####cequine.org.nz/wp-content/themes/poloraytheme/functions/HdIC_W.php?f=#############
- http://if###esti.ro/wp-content/plugins/navayan-subscribe/SYbJT9.php?z=#############
- http://vo####rbrendan.mobi/wp-content/plugins/contact-form-7/t1TrNk.php?l=#############
- http://vo####rbrendan.me/wp-content/themes/twentyfourteen/pYE7yW.php?j=#############
- http://vo####rbrendan.biz/wp-content/themes/twentyfifteen/pLXtNm.php?q=#############
- http://di###emodels.ru/tmp/install_534f08d496bdb/tinymce/js/tinymce/plugins/b<Служебное имя>/GAwCYO.php?u=#############
- http://ca###imonte.ua/wp-content/plugins/cherry-plugin/PLlfEN.php?s=#############
- http://ga###nddeli.com/media/editors/tinymce/jscripts/tiny_mce/plugins/paste/GbWzVt.php?u=#############
- http://ay##zee.biz/wp-content/plugins/max-banner-ads-pro/5Yfhdr.php?p=#############
- http://be###tv.com.tr/wp-content/plugins/newsletter/4dMplH.php?z=#############
- http://z-#n.ru/wp-content/plugins/wp-lightbox-2/107iNE.php?f=#############
- http://op####unitycup.com/media/editors/tinymce/jscripts/tiny_mce/plugins/contextmenu/InyfWv.php?p=#############
- http://pr####tprovider.nl/wp-content/uploads/genesis-extender/plugin/images/HaryfG.php?f=#############
- http://qr#p.us/wp-content/themes/twentyfifteen/Bamzho.php?c=#############
- http://ne###nsult.by/wp-content/plugins/all-in-one-seo-pack/JqT9Ls.php?d=#############
- http://pe##as.ru/wp-content/themes/twentytwelve/uQYbdq.php?w=#############
UDP:
- DNS ASK me###loto.ru
- DNS ASK bo#o.by
- DNS ASK el###rosim.ro
- DNS ASK xn######ckeg1db2a.xn--p1ai
- DNS ASK z-#n.ru
- DNS ASK op####unitycup.com
- DNS ASK if###esti.ro
- DNS ASK pa########tsgroomingacademy.co.uk
- DNS ASK dk##rma.ru
- DNS ASK so####re-select.nl
- DNS ASK ro###iznesa.ru
- DNS ASK at#####cequine.org.nz
- DNS ASK vo####rbrendan.info
- DNS ASK be####yourtown.info
- DNS ASK di####trailer.us
- DNS ASK ga###nddeli.com
- DNS ASK ay##zee.biz
- DNS ASK di###emodels.ru
- DNS ASK ca###imonte.ua
- DNS ASK ip##ddr.es
- DNS ASK my####rnalip.com
- DNS ASK cu###yip.com
- DNS ASK vo####rbrendan.mobi
- DNS ASK pe##as.ru
- DNS ASK pr####tprovider.nl
- DNS ASK be###tv.com.tr
- DNS ASK ne###nsult.by
- DNS ASK vo####rbrendan.me
- DNS ASK vo####rbrendan.biz
- DNS ASK qr#p.us
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
