Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '3bb5e' = '%APPDATA%\3bb5e\8c4eb66caf.exe'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\explorer.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\3bb5e\8c4eb66caf.exe
Сетевая активность:
Подключается к:
- 'be#####parkescorts4u.eu':80
- 'ci##box.se':80
- 'bi####parties.co.uk':80
- 'ch####evices.com':80
- 'bi####-insalyon.fr':80
- 'be####ervice-nn.com':80
- 'ca#######erieb.altervista.org':80
- 'ca##av.com':80
- 'as###edge.ca':80
- 'ca###earch.com':80
- 'bi###urgdorf.de':80
- 'be##ex.kz':80
- 'ca#######nequinecollege.co.uk':80
- 'bl####rreviews.info':80
- 'be####nescorts4u.eu':80
- 'be####andblings.com':80
- 'bl##.##elphistudio.com':80
- 'bl##.#rucrowd.com':80
- 'ba###ce7.com':80
- 'ci####tels.com.ua':80
- 'bl##.##steinertal.com':80
- 'bl##.#saplin.com':80
- 'bl##.#akinsud.com':80
- 'ca####at-teufel.com':80
- 'ba######m.altervista.org':80
- 'cb###al.com.tr':80
- 'bn#.#acsons.com':80
- 'ca###being.com':80
- 'be#####gesgeldkonten.de':80
- 'ba####trucks.net':80
- 'ch#####esarmaillis.com':80
- 'bo####epornjpg.com':80
- 'ca#####nglishcenter.com':80
- 'be##li.dk':80
- 'bl##.#lenaphoto.com':80
TCP:
Запросы HTTP POST:
- http://be#####parkescorts4u.eu/C0NeuL.php?x=#############
- http://ci##box.se/Lo1jas.php?n=#############
- http://bi####parties.co.uk/zdUpDk.php?l=#############
- http://ch####evices.com/rxwJBh.php?q=#############
- http://bi####-insalyon.fr/kdeSZP.php?t=#############
- http://be####ervice-nn.com/v20Eto.php?l=#############
- http://ca#######erieb.altervista.org/HrWc73.php?p=#############
- http://ca##av.com/a_5snU.php?m=#############
- http://as###edge.ca/TcC9D8.php?n=#############
- http://ca###earch.com/f5JaVs.php?u=#############
- http://bi###urgdorf.de/rqwNCV.php?c=#############
- http://be##ex.kz/QdED9J.php?a=#############
- http://ca#######nequinecollege.co.uk/L3nIJP.php?x=#############
- http://bl####rreviews.info/3QBj0E.php?w=#############
- http://be####nescorts4u.eu/g13XWB.php?j=#############
- http://be####andblings.com/CZsNtx.php?k=#############
- http://bl##.##elphistudio.com/grR79U.php?p=#############
- http://bl##.#rucrowd.com/O9_n4P.php?i=#############
- http://ba###ce7.com/91cB7V.php?n=#############
- http://ci####tels.com.ua/4RYofd.php?h=#############
- http://bl##.##steinertal.com/JPd4Zp.php?m=#############
- http://bl##.#saplin.com/61flOo.php?n=#############
- http://bl##.#akinsud.com/Wkc8Is.php?e=#############
- http://ca####at-teufel.com/KyxkWN.php?h=#############
- http://ba######m.altervista.org/p3er4s.php?a=#############
- http://cb###al.com.tr/zmAV62.php?z=#############
- http://bn#.#acsons.com/iwzoID.php?d=#############
- http://ca###being.com/unEOWx.php?c=#############
- http://be#####gesgeldkonten.de/dVDXU2.php?l=#############
- http://ba####trucks.net/xM69Wf.php?u=#############
- http://ch#####esarmaillis.com/SvrN38.php?f=#############
- http://bo####epornjpg.com/Nb7ahE.php?h=#############
- http://ca#####nglishcenter.com/w6Z3I0.php?t=#############
- http://be##li.dk/js0BSc.php?q=#############
- http://bl##.#lenaphoto.com/YxRqSj.php?r=#############
UDP:
- DNS ASK be#####parkescorts4u.eu
- DNS ASK ci##box.se
- DNS ASK bi####parties.co.uk
- DNS ASK ch####evices.com
- DNS ASK bi####-insalyon.fr
- DNS ASK be####ervice-nn.com
- DNS ASK ca#######erieb.altervista.org
- DNS ASK ca##av.com
- DNS ASK as###edge.ca
- DNS ASK ca###earch.com
- DNS ASK bi###urgdorf.de
- DNS ASK be##ex.kz
- DNS ASK ca#######nequinecollege.co.uk
- DNS ASK bl####rreviews.info
- DNS ASK be####nescorts4u.eu
- DNS ASK be####andblings.com
- DNS ASK bl##.##elphistudio.com
- DNS ASK bl##.#rucrowd.com
- DNS ASK ba###ce7.com
- DNS ASK ci####tels.com.ua
- DNS ASK bl##.##steinertal.com
- DNS ASK bl##.#saplin.com
- DNS ASK bl##.#akinsud.com
- DNS ASK ca####at-teufel.com
- DNS ASK ba######m.altervista.org
- DNS ASK cb###al.com.tr
- DNS ASK bn#.#acsons.com
- DNS ASK ca###being.com
- DNS ASK be#####gesgeldkonten.de
- DNS ASK ba####trucks.net
- DNS ASK ch#####esarmaillis.com
- DNS ASK bo####epornjpg.com
- DNS ASK ca#####nglishcenter.com
- DNS ASK be##li.dk
- DNS ASK bl##.#lenaphoto.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
