Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение:
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ec525f4.exe
- C:\ec525f4\ec525f4.exe
Сетевая активность:
Подключается к:
- 'ja####eagher.com':80
- 'ka####eservat.com':80
- 'ge####llardart.com':80
- 'la.##npac.com':80
- 'hi###gyou.us':80
- 'cl######.#utorepuestopalacios.com':80
- 'wa#######gefortlauderdale.info':80
- 'na####autopart.com':80
- 'ag##gh.com':80
- 'gj#####icambridge.com':80
- 'ge####letsnow.com':80
- 'ao###sion.com':80
- 'an####.icodedark.com':80
- 'cu###yip.com':80
- 'ip##ddr.es':80
- 'my####rnalip.com':80
- 'he#####airmasters.com':80
- 'ko###elp.com':80
- 'gl#####reecafegirl.com':80
- 'bi##el.com':80
- 'ma########alianzasestrategicas.com':80
TCP:
Запросы HTTP GET:
- http://cu###yip.com/
- http://my####rnalip.com/raw
- http://ip##ddr.es/
Запросы HTTP POST:
- http://ja####eagher.com/nextgen-gallery/products/photocrati_nextgen/modules/wpcli/3.php?v=##############
- http://ka####eservat.com/wp-content/plugins/js_composer/assets/lib/vcIconPicker/themes/grey-theme/5.php?x=##############
- http://hi###gyou.us/wp-content/plugins/js_composer/assets/lib/nivoslider/themes/light/4.php?n=##############
- http://ge####llardart.com/wp-admin/network/3.php?t=##############
- http://ag##gh.com/wos/js/1.php?e=##############
- http://cl######.#utorepuestopalacios.com/images/articulos/2.php?o=##############
- http://wa#######gefortlauderdale.info/wp-content/cache/1.php?y=##############
- http://gj#####icambridge.com/OLD%20FILES/new-site/images/3.php?i=##############
- http://na####autopart.com/1.php?i=##############
- http://bi##el.com/media/media/css/1.php?n=##############
- http://ma########alianzasestrategicas.com/wp-admin/user/3.php?j=##############
- http://ao###sion.com/gsqgu/.f6e2634/1.php?g=##############
- http://an####.icodedark.com/wp-content/plugins/js_composer/include/classes/vendors/plugins/acf/5.php?m=##############
- http://gl#####reecafegirl.com/wp-admin/user/3.php?x=##############
- http://ge####letsnow.com/wp-content/pep-vn/static-vars/3.php?j=##############
- http://la.##npac.com/img/3.php?d=##############
- http://he#####airmasters.com/Demo_Preliminar_helths/wc-logs/3.php?a=##############
- http://ko###elp.com/wp-includes/certificates/3.php?e=##############
UDP:
- DNS ASK ja####eagher.com
- DNS ASK ka####eservat.com
- DNS ASK ge####llardart.com
- DNS ASK la.##npac.com
- DNS ASK hi###gyou.us
- DNS ASK ag##gh.com
- DNS ASK wa#######gefortlauderdale.info
- DNS ASK gu#####esportsteam.com
- DNS ASK cl######.#utorepuestopalacios.com
- DNS ASK gj#####icambridge.com
- DNS ASK na####autopart.com
- DNS ASK ao###sion.com
- DNS ASK an####.icodedark.com
- DNS ASK cu###yip.com
- DNS ASK ip##ddr.es
- DNS ASK my####rnalip.com
- DNS ASK bi##el.com
- DNS ASK ko###elp.com
- DNS ASK ge####letsnow.com
- DNS ASK he#####airmasters.com
- DNS ASK ma########alianzasestrategicas.com
- DNS ASK gl#####reecafegirl.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
