Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Encrypting Encryption Reporting' = '<SYSTEM32>\wxqqpvhsa.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Spooler Application Networking Multimedia Window] 'ImagePath' = '<SYSTEM32>\wxqqpvhsa.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Spooler Application Networking Multimedia Window] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '%WINDIR%\Temp\x8avlcz35xamgocuik.exe' -r 31290 tcp
- '%WINDIR%\Temp\x8avlcz32bk34ycuik.exe' -r 21543 tcp
- '%WINDIR%\Temp\x8avlcz3o14wkvcuik.exe' -r 44893 tcp
- '%WINDIR%\Temp\x8avlcz3b57a7scuik.exe' -r 44983 tcp
- '%WINDIR%\Temp\x8avlcz3l1fv6pcuik.exe' -r 37349 tcp
- '%WINDIR%\Temp\x8avlcz377vlz2cuik.exe' -r 27889 tcp
- '<SYSTEM32>\vzcmnkxklfvn.exe' "<SYSTEM32>\wxqqpvhsa.exe"
- '<SYSTEM32>\wxqqpvhsa.exe'
- '%TEMP%\x8avlcz3k4s9pvcuiktzwwxl.exe'
- '%WINDIR%\Temp\x8avlcz3bbfrbpcuik.exe' -r 42059 tcp
- '%WINDIR%\Temp\x8avlcz3lkagyccuik.exe' -r 24924 tcp
- '%WINDIR%\Temp\x8avlcz34trtj4cuik.exe' -r 26728 tcp
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\x8avlcz3o14wkvcuik.exe
- %WINDIR%\Temp\x8avlcz32bk34ycuik.exe
- %WINDIR%\Temp\x8avlcz3lkagyccuik.exe
- %WINDIR%\Temp\x8avlcz3bbfrbpcuik.exe
- %WINDIR%\Temp\x8avlcz3l1fv6pcuik.exe
- %WINDIR%\Temp\x8avlcz3b57a7scuik.exe
- %WINDIR%\Temp\x8avlcz35xamgocuik.exe
- %WINDIR%\Temp\x8avlcz377vlz2cuik.exe
- <SYSTEM32>\wxqqpvhsa.exe
- <SYSTEM32>\vzcmnkxklfvn.exe
- <SYSTEM32>\jdvgaekk\tst
- %TEMP%\x8avlcz3k4s9pvcuiktzwwxl.exe
- <SYSTEM32>\jdvgaekk\cfg
- %WINDIR%\Temp\x8avlcz34trtj4cuik.exe
- <SYSTEM32>\jdvgaekk\rng
- <SYSTEM32>\jdvgaekk\run
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\vzcmnkxklfvn.exe
- <SYSTEM32>\wxqqpvhsa.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\x8avlcz35xamgocuik.exe
- %WINDIR%\Temp\x8avlcz32bk34ycuik.exe
- %WINDIR%\Temp\x8avlcz3l1fv6pcuik.exe
- %WINDIR%\Temp\x8avlcz377vlz2cuik.exe
- %WINDIR%\Temp\x8avlcz3o14wkvcuik.exe
- %WINDIR%\Temp\x8avlcz34trtj4cuik.exe
- %TEMP%\x8avlcz3k4s9pvcuiktzwwxl.exe
- %WINDIR%\Temp\x8avlcz3bbfrbpcuik.exe
- %WINDIR%\Temp\x8avlcz3lkagyccuik.exe
Сетевая активность:
Подключается к:
- 'mi####pecial.net':80
- 'br###nthird.net':80
- 'do####object.net':80
TCP:
Запросы HTTP GET:
- http://mi####pecial.net/index.php
- http://br###nthird.net/index.php
- http://do####object.net/index.php
UDP:
- DNS ASK mi####pecial.net
- DNS ASK ri###nstorm.net
- DNS ASK br###nthird.net
- DNS ASK do####object.net
- '23#.#55.255.250':1900
