Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Shadow Logs Task Computer' = 'C:\ytbndkptts\llgtnjftjre.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\AutoConfig Launcher Performance Defender] 'ImagePath' = 'C:\ytbndkptts\llgtnjftjre.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\AutoConfig Launcher Performance Defender] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\ytbndkptts\rtqtbqadtbne.exe' "c:\ytbndkptts\llgtnjftjre.exe"
- 'C:\ytbndkptts\llgtnjftjre.exe'
- 'C:\ytbndkptts\thm39jcbunhcplrqh.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\ytbndkptts\llgtnjftjre.exe
- C:\ytbndkptts\rtqtbqadtbne.exe
- C:\ytbndkptts\xc3cis
- %WINDIR%\ytbndkptts\jvbx9hzlt3si
- C:\ytbndkptts\jvbx9hzlt3si
- C:\ytbndkptts\thm39jcbunhcplrqh.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\ytbndkptts\rtqtbqadtbne.exe
- C:\ytbndkptts\llgtnjftjre.exe
Удаляет следующие файлы:
- C:\ytbndkptts\thm39jcbunhcplrqh.exe
- %WINDIR%\ytbndkptts\jvbx9hzlt3si
Подменяет следующие файлы:
- %WINDIR%\ytbndkptts\jvbx9hzlt3si
Сетевая активность:
Подключается к:
- 'ge####manbasket.net':80
- 'al####ybasket.net':80
- 'fo####industry.net':80
- 'al####ycontain.net':80
- 'ge####manbecame.net':80
- 'al####ybecame.net':80
- 'ge#####ancontain.net':80
- 'me####industry.net':80
- 'fo####basket.net':80
- 'me####basket.net':80
- 'be####ndustry.net':80
- 'me####contain.net':80
- 'fo####became.net':80
- 'me####became.net':80
- 'fo####contain.net':80
- 'fi####iscover.net':80
- 'fr####ndustry.net':80
- 'ex#####nceindustry.net':80
- 'pa####iscover.net':80
- 'fi###master.net':80
- 'pa###wonder.net':80
- 'fi###wonder.net':80
- 'fr###became.net':80
- 'ex#####ncebasket.net':80
- 'ge#####anindustry.net':80
- 'al####yindustry.net':80
- 'fr###basket.net':80
- 'ex#####ncebecame.net':80
- 'fr####ontain.net':80
- 'ex#####ncecontain.net':80
TCP:
Запросы HTTP GET:
- http://ge####manbasket.net/index.php
- http://al####ybasket.net/index.php
- http://fo####industry.net/index.php
- http://al####ycontain.net/index.php
- http://ge####manbecame.net/index.php
- http://al####ybecame.net/index.php
- http://ge#####ancontain.net/index.php
- http://me####industry.net/index.php
- http://fo####basket.net/index.php
- http://me####basket.net/index.php
- http://be####ndustry.net/index.php
- http://me####contain.net/index.php
- http://fo####became.net/index.php
- http://me####became.net/index.php
- http://fo####contain.net/index.php
- http://fi####iscover.net/index.php
- http://fr####ndustry.net/index.php
- http://ex#####nceindustry.net/index.php
- http://pa####iscover.net/index.php
- http://fi###master.net/index.php
- http://pa###wonder.net/index.php
- http://fi###wonder.net/index.php
- http://fr###became.net/index.php
- http://ex#####ncebasket.net/index.php
- http://ge#####anindustry.net/index.php
- http://al####yindustry.net/index.php
- http://fr###basket.net/index.php
- http://ex#####ncebecame.net/index.php
- http://fr####ontain.net/index.php
- http://ex#####ncecontain.net/index.php
UDP:
- DNS ASK al####ybasket.net
- DNS ASK fo####industry.net
- DNS ASK me####industry.net
- DNS ASK ge####manbasket.net
- DNS ASK al####ybecame.net
- DNS ASK ge#####ancontain.net
- DNS ASK al####ycontain.net
- DNS ASK fo####became.net
- DNS ASK me####basket.net
- DNS ASK be####ndustry.net
- DNS ASK kn####ndustry.net
- DNS ASK fo####basket.net
- DNS ASK me####became.net
- DNS ASK fo####contain.net
- DNS ASK me####contain.net
- DNS ASK ge####manbecame.net
- DNS ASK fi####iscover.net
- DNS ASK fr####ndustry.net
- DNS ASK ex#####nceindustry.net
- DNS ASK pa####iscover.net
- DNS ASK fi###master.net
- DNS ASK pa###wonder.net
- DNS ASK fi###wonder.net
- DNS ASK fr###became.net
- DNS ASK ex#####ncebasket.net
- DNS ASK ge#####anindustry.net
- DNS ASK al####yindustry.net
- DNS ASK fr###basket.net
- DNS ASK ex#####ncebecame.net
- DNS ASK fr####ontain.net
- DNS ASK ex#####ncecontain.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
