Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\ec525f4.exe
- C:\ec525f4\ec525f4.exe
Сетевая активность:
Подключается к:
- 'ba###gic.com':80
- 'da###ystems.com':80
- 'co###platt.com':80
- 'br####addesign.com':80
- 'go####nacoat.com':80
- 'gc####ancial.com':80
- 'fo######onssportsplex.org':80
- 'hu###itup.com':80
- 'ho##pop.com':80
- 'dq###.###vage-production.com':80
- 'il####urlari.com':80
- 'cr#####e-interiors.net':80
- 'am###oinc.com':80
- 'cr####heabyss.com':80
- 'ct###anila.com':80
- 'ea###rockey.com':80
- 'ca#####g-prestige.be':80
- 'ci###eng.com.au':80
- 'de####storage.com':80
- 'ha###aklaw.com':80
- 'gi###-yam.com':80
- 'in#####ngdrummers.com':80
- 'de#####oconsulting.com':80
- 'fo######matenvermietung.com':80
- 'hi##lu.com':80
- 'ha###jean.com':80
- 'my####rnalip.com':80
- 'ip##ddr.es':80
- 'cu###yip.com':80
- 'de####amiracle.com':80
- 'dm###site.pl':80
- 'fa####reations.in':80
- 'cl#####arcastropol.com':80
- 'ho#######dbusinesscredit.org':80
- 'fl####ldonline.com':80
- 'fo#####sonstraining.com':80
- 'di###media.com':80
- 'cl######entalanfruns.com':80
- 'cy########landcorporateservices.com':80
- 'ea##an.com':80
- 'am####gweblogos.com':80
TCP:
Запросы HTTP GET:
- http://cu###yip.com/
- http://my####rnalip.com/raw
- http://ip##ddr.es/
Запросы HTTP POST:
- http://co###platt.com/5.php?f=###########
- http://ba###gic.com/3.php?y=###########
- http://br####addesign.com/2.php?m=###########
- http://go####nacoat.com/1.php?f=###########
- http://da###ystems.com/4.php?l=###########
- http://hu###itup.com/4.php?j=###########
- http://gc####ancial.com/3.php?h=###########
- http://ho##pop.com/1.php?h=###########
- http://dq###.###vage-production.com/3.php?q=###########
- http://ca#####g-prestige.be/1.php?d=###########
- http://am###oinc.com/3.php?a=###########
- http://il####urlari.com/3.php?h=###########
- http://cr####heabyss.com/2.php?o=###########
- http://ct###anila.com/1.php?g=###########
- http://cr#####e-interiors.net/3.php?i=###########
- http://ci###eng.com.au/3.php?c=###########
- http://ea###rockey.com/1.php?e=###########
- http://de####storage.com/3.php?a=###########
- http://ha###aklaw.com/4.php?b=###########
- http://hi##lu.com/3.php?z=###########
- http://ha###jean.com/5.php?x=###########
- http://di###media.com/1.php?t=###########
- http://cl######entalanfruns.com/2.php?j=###########
- http://fo######matenvermietung.com/2.php?t=###########
- http://de####amiracle.com/5.php?t=###########
- http://dm###site.pl/5.php?n=###########
- http://in#####ngdrummers.com/2.php?l=###########
- http://de#####oconsulting.com/4.php?p=###########
- http://cy########landcorporateservices.com/5.php?h=###########
- http://fl####ldonline.com/4.php?e=###########
- http://fo#####sonstraining.com/5.php?s=###########
- http://fo######onssportsplex.org/1.php?t=###########
- http://gi###-yam.com/2.php?f=###########
- http://ho#######dbusinesscredit.org/5.php?i=###########
- http://ea##an.com/2.php?e=###########
- http://am####gweblogos.com/4.php?j=###########
- http://fa####reations.in/5.php?a=###########
- http://cl#####arcastropol.com/1.php?c=###########
UDP:
- DNS ASK ba###gic.com
- DNS ASK da###ystems.com
- DNS ASK co###platt.com
- DNS ASK br####addesign.com
- DNS ASK go####nacoat.com
- DNS ASK gc####ancial.com
- DNS ASK fo######onssportsplex.org
- DNS ASK hu###itup.com
- DNS ASK ho##pop.com
- DNS ASK dq###.###vage-production.com
- DNS ASK ca#####g-prestige.be
- DNS ASK am###oinc.com
- DNS ASK il####urlari.com
- DNS ASK ct###anila.com
- DNS ASK fo######matenverleih.com
- DNS ASK cr####heabyss.com
- DNS ASK ci###eng.com.au
- DNS ASK ea###rockey.com
- DNS ASK ha###aklaw.com
- DNS ASK cr#####e-interiors.net
- DNS ASK de####storage.com
- DNS ASK in#####ngdrummers.com
- DNS ASK de#####oconsulting.com
- DNS ASK fo######matenvermietung.com
- DNS ASK hi##lu.com
- DNS ASK ha###jean.com
- DNS ASK my####rnalip.com
- DNS ASK ip##ddr.es
- DNS ASK cu###yip.com
- DNS ASK de####amiracle.com
- DNS ASK dm###site.pl
- DNS ASK cl######entalanfruns.com
- DNS ASK ho#######dbusinesscredit.org
- DNS ASK fa####reations.in
- DNS ASK fo#####sonstraining.com
- DNS ASK gi###-yam.com
- DNS ASK fl####ldonline.com
- DNS ASK cy########landcorporateservices.com
- DNS ASK di###media.com
- DNS ASK am####gweblogos.com
- DNS ASK cl#####arcastropol.com
- DNS ASK ea##an.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
