Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Player Connect WinHTTP Bluetooth' = '<SYSTEM32>\eyrjhpwflv.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Builder Distributed Interface] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '%WINDIR%\Temp\vaqaxow3md5by.exe' -r 36252 tcp
- '<LS_APPDATA>\avetjootz.exe' "<SYSTEM32>\eyrjhpwflv.exe"
- '<SYSTEM32>\avetjootz.exe' "<SYSTEM32>\eyrjhpwflv.exe"
- '%TEMP%\vaqaxow3bu8byxlndj9jm.exe'
- '<SYSTEM32>\eyrjhpwflv.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <DRIVERS>\etc\hosts
- <LS_APPDATA>\avetjootz.exe
- <LS_APPDATA>\fhlkksijdsjyxdh\tst
- <LS_APPDATA>\fhlkksijdsjyxdh\etc
- <LS_APPDATA>\fhlkksijdsjyxdh\cfg
- <LS_APPDATA>\fhlkksijdsjyxdh\por
- <LS_APPDATA>\fhlkksijdsjyxdh\rng
- <LS_APPDATA>\fhlkksijdsjyxdh\run
- %WINDIR%\Temp\vaqaxow3md5by.exe
- <SYSTEM32>\fhlkksijdsjyxdh\etc
- <SYSTEM32>\eyrjhpwflv.exe
- <SYSTEM32>\fhlkksijdsjyxdh\tst
- %TEMP%\vaqaxow3bu8byxlndj9jm.exe
- <SYSTEM32>\fhlkksijdsjyxdh\run
- <SYSTEM32>\fhlkksijdsjyxdh\cfg
- <SYSTEM32>\avetjootz.exe
- <SYSTEM32>\fhlkksijdsjyxdh\rng
Присваивает атрибут 'скрытый' для следующих файлов:
- <LS_APPDATA>\avetjootz.exe
- <SYSTEM32>\avetjootz.exe
- <SYSTEM32>\eyrjhpwflv.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\vaqaxow3md5by.exe
- <DRIVERS>\etc\hosts
- %TEMP%\vaqaxow3bu8byxlndj9jm.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'se####berneck.net':80
- 'ha###hown.net':80
- 'se####bershown.net':80
- 'fr###meet.net':80
- 'of###meet.net':80
- 'ha###eck.net':80
- 'ha###ood.net':80
- 'jo###eck.net':80
- 'wi###eck.net':80
- 'jo###hown.net':80
- 'se####berfood.net':80
- 'ha###eet.net':80
- 'se####bermeet.net':80
- 'of###food.net':80
- 'de###lxc.com':80
- 'we###ood.net':80
- 'sp###food.net':80
- 'ri###nstorm.net':80
- 'af###sllc.com':80
- 'be##lxc.com':80
- 'we###eet.net':80
- 'fr###shown.net':80
- 'of###shown.net':80
- 'fr###food.net':80
- 'sp###meet.net':80
- 'fr###neck.net':80
- 'of###neck.net':80
TCP:
Запросы HTTP GET:
- http://se####berneck.net/index.php
- http://ha###hown.net/index.php
- http://se####bershown.net/index.php
- http://fr###meet.net/index.php
- http://of###meet.net/index.php
- http://ha###eck.net/index.php
- http://ha###ood.net/index.php
- http://jo###eck.net/index.php
- http://wi###eck.net/index.php
- http://jo###hown.net/index.php
- http://se####berfood.net/index.php
- http://ha###eet.net/index.php
- http://se####bermeet.net/index.php
- http://of###food.net/index.php
- http://de###lxc.com/index.php
- http://we###ood.net/index.php
- http://sp###food.net/index.php
- http://ri###nstorm.net/index.php
- http://af###sllc.com/index.php
- http://be##lxc.com/index.php
- http://we###eet.net/index.php
- http://fr###shown.net/index.php
- http://of###shown.net/index.php
- http://fr###food.net/index.php
- http://sp###meet.net/index.php
- http://fr###neck.net/index.php
- http://of###neck.net/index.php
UDP:
- DNS ASK ha###hown.net
- DNS ASK se####bershown.net
- DNS ASK ha###ood.net
- DNS ASK se####berneck.net
- DNS ASK fr###meet.net
- DNS ASK of###meet.net
- DNS ASK ha###eck.net
- DNS ASK wi###eck.net
- DNS ASK jo###hown.net
- DNS ASK wi###hown.net
- DNS ASK jo###eck.net
- DNS ASK se####berfood.net
- DNS ASK ha###eet.net
- DNS ASK se####bermeet.net
- DNS ASK of###food.net
- DNS ASK de###lxc.com
- DNS ASK we###ood.net
- DNS ASK sp###food.net
- DNS ASK ri###nstorm.net
- DNS ASK af###sllc.com
- DNS ASK be##lxc.com
- DNS ASK we###eet.net
- DNS ASK fr###shown.net
- DNS ASK of###shown.net
- DNS ASK fr###food.net
- DNS ASK sp###meet.net
- DNS ASK fr###neck.net
- DNS ASK of###neck.net
- '23#.#55.255.250':1900
