Trojan.KillFiles.58977

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Defender Drive Volume Machine Peer' = '<SYSTEM32>\ifyeswptmxz.exe'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\AuthIP Link Plug Remote Keying WebClient] 'ImagePath' = '<SYSTEM32>\ifyeswptmxz.exe'
[<HKLM>\SYSTEM\ControlSet001\Services\AuthIP Link Plug Remote Keying WebClient] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\lmpyacbtkgro\run
<SYSTEM32>\lmpyacbtkgro\rng
%WINDIR%\Temp\icvqle3ttdhaxb.exe
<SYSTEM32>\lmpyacbtkgro\cfg
<SYSTEM32>\yvnpqvinbf.exe
%TEMP%\icvqle3lydhaxbz59cp0j.exe
<SYSTEM32>\lmpyacbtkgro\tst
<SYSTEM32>\ifyeswptmxz.exe
<SYSTEM32>\lmpyacbtkgro\etc

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\yvnpqvinbf.exe
<SYSTEM32>\ifyeswptmxz.exe

Удаляет следующие файлы:

%WINDIR%\Temp\icvqle3ttdhaxb.exe
<DRIVERS>\etc\hosts
%TEMP%\icvqle3lydhaxbz59cp0j.exe

Подменяет файл HOSTS.

Сетевая активность:

Подключается к:

'mi###reen.net':80
'tr###green.net':80
'mi###ound.net':80
'tr###lift.net':80
'cl###where.net':80
'da###here.net':80
'mi###ift.net':80
'du###ift.net':80
'wi###reen.net':80
'du###reen.net':80
'wi###ift.net':80
'tr###sound.net':80
'mi###and.net':80
'tr###hand.net':80
'we####dayhalf.net':80
'mo###rest.net':80
'dr####hirteen.net':80
'qu###tell.net':80
'ab###ead.net':80
'en###guess.net':80
'so###nder.net':80
'da###ail.net':80
'cl###wore.net':80
'da###ore.net':80
'cl###mail.net':80
'fa###oat.net':80
'se###sound.net':80
'mu###appy.net':80

TCP:

Запросы HTTP GET:

http://mi###reen.net/index.php?me################################################
http://tr###green.net/index.php?me################################################
http://mi###ound.net/index.php?me################################################
http://tr###lift.net/index.php?me################################################
http://cl###where.net/index.php?me################################################
http://da###here.net/index.php?me################################################
http://mi###ift.net/index.php?me################################################
http://du###ift.net/index.php?me################################################
http://wi###reen.net/index.php?me################################################
http://du###reen.net/index.php?me################################################
http://wi###ift.net/index.php?me################################################
http://tr###sound.net/index.php?me################################################
http://mi###and.net/index.php?me################################################
http://tr###hand.net/index.php?me################################################
http://we####dayhalf.net/index.php?me################################################
http://mo###rest.net/index.php?me################################################
http://dr####hirteen.net/index.php?me################################################
http://qu###tell.net/index.php?me################################################
http://ab###ead.net/index.php?me################################################
http://en###guess.net/index.php?me################################################
http://so###nder.net/index.php?me################################################
http://da###ail.net/index.php?me################################################
http://cl###wore.net/index.php?me################################################
http://da###ore.net/index.php?me################################################
http://cl###mail.net/index.php?me################################################
http://fa###oat.net/index.php?me################################################
http://se###sound.net/index.php?me################################################
http://mu###appy.net/index.php?me################################################