Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Detection IPsec Link-Layer Reporting' = 'C:\ksxotimczvenp\mwbqsktxz.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Logs Registry IPsec Software User-mode] 'ImagePath' = 'C:\ksxotimczvenp\mwbqsktxz.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Logs Registry IPsec Software User-mode] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\ksxotimczvenp\lumfvpudflrk.exe' "c:\ksxotimczvenp\mwbqsktxz.exe"
- 'C:\ksxotimczvenp\mwbqsktxz.exe'
- 'C:\ksxotimczvenp\wdd2jnhi9yqjoqs.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\ksxotimczvenp\mwbqsktxz.exe
- C:\ksxotimczvenp\lumfvpudflrk.exe
- C:\ksxotimczvenp\wdd2jnhi9yqjoqs.exe
- %WINDIR%\ksxotimczvenp\typfurihmc
- C:\ksxotimczvenp\typfurihmc
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\ksxotimczvenp\lumfvpudflrk.exe
- C:\ksxotimczvenp\mwbqsktxz.exe
Удаляет следующие файлы:
- C:\ksxotimczvenp\wdd2jnhi9yqjoqs.exe
- %WINDIR%\ksxotimczvenp\typfurihmc
Подменяет следующие файлы:
- %WINDIR%\ksxotimczvenp\typfurihmc
Сетевая активность:
Подключается к:
- 'pe####except.net':80
- 'be####ewhose.net':80
- 'pe####bridge.net':80
- 'ma####eexcept.net':80
- 'ex###twhose.net':80
- 'be####ebridge.net':80
- 'ex####bridge.net':80
- 'be####ebicycle.net':80
- 'ex####bicycle.net':80
- 'fo####nexcept.net':80
- 'su####except.net':80
- 'fo####nbridge.net':80
- 'su####bridge.net':80
- 'ma####ewhose.net':80
- 'pe####bicycle.net':80
- 'ma####ebridge.net':80
- 'pe###nwhose.net':80
- 'ma####ebicycle.net':80
- 'ch####enenter.net':80
- 'fa###yboard.net':80
- 'ei####character.net':80
- 'fa###yenter.net':80
- 'ch####enboard.net':80
- 'fa####character.net':80
- 'ch#####ncharacter.net':80
- 'fa####ladder.net':80
- 'ch####enladder.net':80
- 'en####henter.net':80
- 'ei###renter.net':80
- 'be####eexcept.net':80
- 'ex####except.net':80
- 'en####hboard.net':80
- 'ei####ladder.net':80
- 'en#####character.net':80
- 'ei###rboard.net':80
- 'en####hladder.net':80
TCP:
Запросы HTTP GET:
- http://pe####except.net/index.php
- http://be####ewhose.net/index.php
- http://pe####bridge.net/index.php
- http://ma####eexcept.net/index.php
- http://ex###twhose.net/index.php
- http://be####ebridge.net/index.php
- http://ex####bridge.net/index.php
- http://be####ebicycle.net/index.php
- http://ex####bicycle.net/index.php
- http://fo####nexcept.net/index.php
- http://su####except.net/index.php
- http://fo####nbridge.net/index.php
- http://su####bridge.net/index.php
- http://ma####ewhose.net/index.php
- http://pe####bicycle.net/index.php
- http://ma####ebridge.net/index.php
- http://pe###nwhose.net/index.php
- http://ma####ebicycle.net/index.php
- http://ch####enenter.net/index.php
- http://fa###yboard.net/index.php
- http://ei####character.net/index.php
- http://fa###yenter.net/index.php
- http://ch####enboard.net/index.php
- http://fa####character.net/index.php
- http://ch#####ncharacter.net/index.php
- http://fa####ladder.net/index.php
- http://ch####enladder.net/index.php
- http://en####henter.net/index.php
- http://ei###renter.net/index.php
- http://be####eexcept.net/index.php
- http://ex####except.net/index.php
- http://en####hboard.net/index.php
- http://ei####ladder.net/index.php
- http://en#####character.net/index.php
- http://ei###rboard.net/index.php
- http://en####hladder.net/index.php
UDP:
- DNS ASK ma####eexcept.net
- DNS ASK pe####except.net
- DNS ASK ma####ebridge.net
- DNS ASK pe####bridge.net
- DNS ASK be####ewhose.net
- DNS ASK ex####bicycle.net
- DNS ASK be####ebridge.net
- DNS ASK ex###twhose.net
- DNS ASK be####ebicycle.net
- DNS ASK su####bridge.net
- DNS ASK fo####nexcept.net
- DNS ASK su####bicycle.net
- DNS ASK fo####nbridge.net
- DNS ASK su####except.net
- DNS ASK ma####ebicycle.net
- DNS ASK pe####bicycle.net
- DNS ASK ma####ewhose.net
- DNS ASK pe###nwhose.net
- DNS ASK ex####bridge.net
- DNS ASK ch####enenter.net
- DNS ASK fa###yboard.net
- DNS ASK ei####character.net
- DNS ASK fa###yenter.net
- DNS ASK ch####enboard.net
- DNS ASK fa####character.net
- DNS ASK ch#####ncharacter.net
- DNS ASK fa####ladder.net
- DNS ASK ch####enladder.net
- DNS ASK en####henter.net
- DNS ASK ei###renter.net
- DNS ASK be####eexcept.net
- DNS ASK ex####except.net
- DNS ASK en####hboard.net
- DNS ASK ei####ladder.net
- DNS ASK en#####character.net
- DNS ASK ei###rboard.net
- DNS ASK en####hladder.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
