Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'CardSpace Transfer Task DNS Identity' = '<SYSTEM32>\rmxayfxmu.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Credential COM BranchCache Driver Layer] 'ImagePath' = '<SYSTEM32>\rmxayfxmu.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Credential COM BranchCache Driver Layer] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Запускает на исполнение:
- '<SYSTEM32>\pkwvfrwbud.exe' "<SYSTEM32>\rmxayfxmu.exe"
- '%WINDIR%\Temp\xbexbhjx2uvzstf.exe' -r 33012 tcp
- '%TEMP%\xbexbhjx2qfustfcgaroscz.exe'
- '<SYSTEM32>\rmxayfxmu.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\jrwtyidlttb\run
- <SYSTEM32>\jrwtyidlttb\rng
- %WINDIR%\Temp\xbexbhjx2uvzstf.exe
- <SYSTEM32>\jrwtyidlttb\cfg
- <SYSTEM32>\pkwvfrwbud.exe
- %TEMP%\xbexbhjx2qfustfcgaroscz.exe
- <SYSTEM32>\jrwtyidlttb\tst
- <SYSTEM32>\rmxayfxmu.exe
- <SYSTEM32>\jrwtyidlttb\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\pkwvfrwbud.exe
- <SYSTEM32>\rmxayfxmu.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\xbexbhjx2uvzstf.exe
- <DRIVERS>\etc\hosts
- %TEMP%\xbexbhjx2qfustfcgaroscz.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
TCP:
Запросы HTTP GET:
- http://jo###ince.net/index.php
- http://wi###ince.net/index.php
- http://wi###eat.net/index.php
- http://wi###appy.net/index.php
- http://jo###eat.net/index.php
- http://ro###appy.net/index.php
- http://de###eat.net/index.php
- http://de###appy.net/index.php
- http://jo###age.net/index.php
- http://wi###age.net/index.php
- http://jo###appy.net/index.php
- http://of###since.net/index.php
- http://fr###page.net/index.php
- http://fr###since.net/index.php
- http://fr###heat.net/index.php
- http://of###heat.net/index.php
- http://se####bersince.net/index.php
- http://se####berpage.net/index.php
- http://se####berheat.net/index.php
- http://of###page.net/index.php
- http://se####berhappy.net/index.php
- http://ro###eat.net/index.php
- http://hu###five.net/index.php
- http://ha###ive.net/index.php
- http://ha###oice.net/index.php
- http://ma###age.net/index.php
- http://hu###voice.net/index.php
- http://ha###hey.net/index.php
- http://ya###oice.net/index.php
- http://hu###they.net/index.php
- http://hu###eight.net/index.php
- http://ha###ight.net/index.php
- http://wr###page.net/index.php
- http://ro###age.net/index.php
- http://wr###happy.net/index.php
- http://de###age.net/index.php
- http://de###ince.net/index.php
- http://ro###ince.net/index.php
- http://wr###since.net/index.php
- http://ma###ince.net/index.php
- http://ma###eat.net/index.php
- http://ma###appy.net/index.php
- http://wr###heat.net/index.php
- http://ma###ound.net/index.php
- http://wr###hand.net/index.php
- http://wr###sound.net/index.php
- http://wr###green.net/index.php
- http://ma###reen.net/index.php
- http://hu###heat.net/index.php
- http://ha###eat.net/index.php
- http://ha###appy.net/index.php
- http://ma###and.net/index.php
- http://hu###happy.net/index.php
- http://be##lxc.com/index.php
- http://mi###hown.net/index.php
- http://ab###ell.net/index.php
- http://mo###ugust.net/index.php
- http://cr#####onaraminta.net/index.php
- http://le###form.net/index.php
- http://al###being.net/index.php
- http://ri###nstorm.net/index.php
- http://ca####nbring.net/index.php
- http://mo###olor.net/index.php
- http://pr####tbottom.net/index.php
- http://hu###since.net/index.php
- http://sp###heat.net/index.php
- http://we###ince.net/index.php
- http://we###eat.net/index.php
- http://we###appy.net/index.php
- http://sp###happy.net/index.php
- http://fr###happy.net/index.php
- http://of###happy.net/index.php
- http://sp###page.net/index.php
- http://sp###since.net/index.php
- http://we###age.net/index.php
- http://mu###page.net/index.php
- http://ya###appy.net/index.php
- http://mu###happy.net/index.php
- http://ha###age.net/index.php
- http://ha###ince.net/index.php
- http://hu###page.net/index.php
- http://mu###since.net/index.php
- http://ya###age.net/index.php
- http://ya###ince.net/index.php
- http://ya###eat.net/index.php
- http://mu###heat.net/index.php
UDP:
- DNS ASK
