Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Foundation Configuration Isolation' = 'C:\iu8wyf5daz9w5\ziutenyciruz.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Topology iSCSI Encryption Name Print] 'ImagePath' = 'C:\iu8wyf5daz9w5\ziutenyciruz.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Topology iSCSI Encryption Name Print] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\iu8wyf5daz9w5\oznlljx2u.exe' "c:\iu8wyf5daz9w5\ziutenyciruz.exe"
- 'C:\iu8wyf5daz9w5\ziutenyciruz.exe'
- 'C:\iu8wyf5daz9w5\epjlfc3fi6bildyfodnlk.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\iu8wyf5daz9w5\ziutenyciruz.exe
- C:\iu8wyf5daz9w5\oznlljx2u.exe
- C:\iu8wyf5daz9w5\fkfyuahief9p
- %WINDIR%\iu8wyf5daz9w5\oydobwbexnm
- C:\iu8wyf5daz9w5\oydobwbexnm
- C:\iu8wyf5daz9w5\epjlfc3fi6bildyfodnlk.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\iu8wyf5daz9w5\oznlljx2u.exe
- C:\iu8wyf5daz9w5\ziutenyciruz.exe
Удаляет следующие файлы:
- C:\iu8wyf5daz9w5\epjlfc3fi6bildyfodnlk.exe
- %WINDIR%\iu8wyf5daz9w5\oydobwbexnm
Подменяет следующие файлы:
- %WINDIR%\iu8wyf5daz9w5\oydobwbexnm
Сетевая активность:
Подключается к:
- 'la#####iajessamyn.net':80
- 'de#####stjessamyn.net':80
- 'se#####anmarianna.net':80
- 'ch#####namarianna.net':80
- 'la#####iacalleigh.net':80
- 'de#####stcalleigh.net':80
- 'la#####iakatheryn.net':80
- 'de#####stkatheryn.net':80
- 'ch#####nacathleen.net':80
- 'ch#####nemarianna.net':80
- 'se#####ancharleen.net':80
- 'ch#####necathleen.net':80
- 'cl#####ndmarianna.net':80
- 'ch#####natallulah.net':80
- 'se#####ancathleen.net':80
- 'ch#####nacharleen.net':80
- 'se#####antallulah.net':80
- 'ch#####tajessamyn.net':80
- 'ka#####rakatheryn.net':80
- 'ma#####anjessalyn.net':80
- 'ka#####rajessamyn.net':80
- 'ch#####tacalleigh.net':80
- 'ka#####rajessalyn.net':80
- 'ch#####takatheryn.net':80
- 'ka#####racalleigh.net':80
- 'pr#####lajessalyn.net':80
- 'pr#####lajessamyn.net':80
- 'ma#####anjessamyn.net':80
- 'la#####iajessalyn.net':80
- 'de#####stjessalyn.net':80
- 'pr#####lacalleigh.net':80
- 'ma#####ancalleigh.net':80
- 'pr#####lakatheryn.net':80
- 'ma#####ankatheryn.net':80
TCP:
Запросы HTTP GET:
- http://la#####iajessamyn.net/index.php
- http://de#####stjessamyn.net/index.php
- http://se#####anmarianna.net/index.php
- http://ch#####namarianna.net/index.php
- http://la#####iacalleigh.net/index.php
- http://de#####stcalleigh.net/index.php
- http://la#####iakatheryn.net/index.php
- http://de#####stkatheryn.net/index.php
- http://ch#####nacathleen.net/index.php
- http://ch#####nemarianna.net/index.php
- http://se#####ancharleen.net/index.php
- http://ch#####necathleen.net/index.php
- http://cl#####ndmarianna.net/index.php
- http://ch#####natallulah.net/index.php
- http://se#####ancathleen.net/index.php
- http://ch#####nacharleen.net/index.php
- http://se#####antallulah.net/index.php
- http://ch#####tajessamyn.net/index.php
- http://ka#####rakatheryn.net/index.php
- http://ma#####anjessalyn.net/index.php
- http://ka#####rajessamyn.net/index.php
- http://ch#####tacalleigh.net/index.php
- http://ka#####rajessalyn.net/index.php
- http://ch#####takatheryn.net/index.php
- http://ka#####racalleigh.net/index.php
- http://pr#####lajessalyn.net/index.php
- http://pr#####lajessamyn.net/index.php
- http://ma#####anjessamyn.net/index.php
- http://la#####iajessalyn.net/index.php
- http://de#####stjessalyn.net/index.php
- http://pr#####lacalleigh.net/index.php
- http://ma#####ancalleigh.net/index.php
- http://pr#####lakatheryn.net/index.php
- http://ma#####ankatheryn.net/index.php
UDP:
- DNS ASK ch#####namarianna.net
- DNS ASK la#####iajessamyn.net
- DNS ASK ch#####nacathleen.net
- DNS ASK se#####anmarianna.net
- DNS ASK de#####stkatheryn.net
- DNS ASK la#####iacalleigh.net
- DNS ASK de#####stjessamyn.net
- DNS ASK la#####iakatheryn.net
- DNS ASK se#####ancathleen.net
- DNS ASK cl#####ndmarianna.net
- DNS ASK ch#####nemarianna.net
- DNS ASK cl#####ndcathleen.net
- DNS ASK ch#####necathleen.net
- DNS ASK se#####antallulah.net
- DNS ASK ch#####natallulah.net
- DNS ASK se#####ancharleen.net
- DNS ASK ch#####nacharleen.net
- DNS ASK de#####stcalleigh.net
- DNS ASK ch#####tajessamyn.net
- DNS ASK ka#####rakatheryn.net
- DNS ASK ma#####anjessalyn.net
- DNS ASK ka#####rajessamyn.net
- DNS ASK ch#####tacalleigh.net
- DNS ASK ka#####rajessalyn.net
- DNS ASK ch#####takatheryn.net
- DNS ASK ka#####racalleigh.net
- DNS ASK pr#####lajessalyn.net
- DNS ASK pr#####lajessamyn.net
- DNS ASK ma#####anjessamyn.net
- DNS ASK la#####iajessalyn.net
- DNS ASK de#####stjessalyn.net
- DNS ASK pr#####lacalleigh.net
- DNS ASK ma#####ancalleigh.net
- DNS ASK pr#####lakatheryn.net
- DNS ASK ma#####ankatheryn.net
