Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Routing Support Microsoft Detection' = 'C:\hxqnegzuv\lstkoddwsqc.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\DLL Web Call Coordinator] 'ImagePath' = 'C:\hxqnegzuv\lstkoddwsqc.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\DLL Web Call Coordinator] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\hxqnegzuv\iea51p8c.exe' "c:\hxqnegzuv\lstkoddwsqc.exe"
- 'C:\hxqnegzuv\lstkoddwsqc.exe'
- 'C:\hxqnegzuv\rzafndvn3j6ku6eoljjz.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\hxqnegzuv\lstkoddwsqc.exe
- C:\hxqnegzuv\iea51p8c.exe
- C:\hxqnegzuv\smkfuu
- %WINDIR%\hxqnegzuv\lkpgyduded5
- C:\hxqnegzuv\lkpgyduded5
- C:\hxqnegzuv\rzafndvn3j6ku6eoljjz.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\hxqnegzuv\iea51p8c.exe
- C:\hxqnegzuv\lstkoddwsqc.exe
Удаляет следующие файлы:
- C:\hxqnegzuv\rzafndvn3j6ku6eoljjz.exe
- %WINDIR%\hxqnegzuv\lkpgyduded5
Подменяет следующие файлы:
- %WINDIR%\hxqnegzuv\lkpgyduded5
Сетевая активность:
Подключается к:
- 'gw#####refrederick.net':80
- 'ch#####anfrederick.net':80
- 'gw#####regallagher.net':80
- 'gu#####enkristina.net':80
- 'gw#####rephilomena.net':80
- 'ch#####anphilomena.net':80
- 'ch#####angallagher.net':80
- 'al#####erjaqueline.net':80
- 'ka#####neburgundy.net':80
- 'al#####erburgundy.net':80
- 'gw#####rekristina.net':80
- 'ch#####ankristina.net':80
- 'ka#####nejaqueline.net':80
- 'ch#####legallagher.net':80
- 'ge#####nakristina.net':80
- 'ch#####lekristina.net':80
- 'ge#####nafrederick.net':80
- 'ch#####lefrederick.net':80
- 'ge#####nagallagher.net':80
- 'an#####lephilomena.net':80
- 'an#####legallagher.net':80
- 'gu#####engallagher.net':80
- 'an#####lekristina.net':80
- 'gu#####enphilomena.net':80
- 'an#####lefrederick.net':80
- 'gu#####enfrederick.net':80
TCP:
Запросы HTTP GET:
- http://gw#####refrederick.net/index.php
- http://ch#####anfrederick.net/index.php
- http://gw#####regallagher.net/index.php
- http://gu#####enkristina.net/index.php
- http://gw#####rephilomena.net/index.php
- http://ch#####anphilomena.net/index.php
- http://ch#####angallagher.net/index.php
- http://al#####erjaqueline.net/index.php
- http://ka#####neburgundy.net/index.php
- http://al#####erburgundy.net/index.php
- http://gw#####rekristina.net/index.php
- http://ch#####ankristina.net/index.php
- http://ka#####nejaqueline.net/index.php
- http://ch#####legallagher.net/index.php
- http://ge#####nakristina.net/index.php
- http://ch#####lekristina.net/index.php
- http://ge#####nafrederick.net/index.php
- http://ch#####lefrederick.net/index.php
- http://ge#####nagallagher.net/index.php
- http://an#####lephilomena.net/index.php
- http://an#####legallagher.net/index.php
- http://gu#####engallagher.net/index.php
- http://an#####lekristina.net/index.php
- http://gu#####enphilomena.net/index.php
- http://an#####lefrederick.net/index.php
- http://gu#####enfrederick.net/index.php
UDP:
- DNS ASK ch#####anfrederick.net
- DNS ASK gw#####regallagher.net
- DNS ASK ch#####angallagher.net
- DNS ASK gw#####rephilomena.net
- DNS ASK ch#####anphilomena.net
- DNS ASK gw#####refrederick.net
- DNS ASK gw#####rekristina.net
- DNS ASK ka#####neburgundy.net
- DNS ASK al#####erburgundy.net
- DNS ASK ka#####neelizabeth.net
- DNS ASK ch#####ankristina.net
- DNS ASK ka#####nejaqueline.net
- DNS ASK al#####erjaqueline.net
- DNS ASK gu#####enkristina.net
- DNS ASK ch#####legallagher.net
- DNS ASK ge#####nakristina.net
- DNS ASK ch#####lekristina.net
- DNS ASK ge#####nafrederick.net
- DNS ASK ch#####lefrederick.net
- DNS ASK ge#####nagallagher.net
- DNS ASK an#####lephilomena.net
- DNS ASK an#####legallagher.net
- DNS ASK gu#####engallagher.net
- DNS ASK an#####lekristina.net
- DNS ASK gu#####enphilomena.net
- DNS ASK an#####lefrederick.net
- DNS ASK gu#####enfrederick.net
