Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Filtering Builder Detection' = 'C:\gskymhux2g\wu9rxjccbih.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Access Power Virtual Color Function Interactive] 'ImagePath' = 'C:\gskymhux2g\wu9rxjccbih.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Access Power Virtual Color Function Interactive] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\gskymhux2g\voeyqshfnz.exe' "c:\gskymhux2g\wu9rxjccbih.exe"
- 'C:\gskymhux2g\wu9rxjccbih.exe'
- 'C:\gskymhux2g\ivyml4nb3b20xcweocgfbjj.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\gskymhux2g\wu9rxjccbih.exe
- C:\gskymhux2g\voeyqshfnz.exe
- C:\gskymhux2g\xdqku8ti
- %WINDIR%\gskymhux2g\epdbnuze
- C:\gskymhux2g\epdbnuze
- C:\gskymhux2g\ivyml4nb3b20xcweocgfbjj.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\gskymhux2g\voeyqshfnz.exe
- C:\gskymhux2g\wu9rxjccbih.exe
Удаляет следующие файлы:
- C:\gskymhux2g\ivyml4nb3b20xcweocgfbjj.exe
- %WINDIR%\gskymhux2g\epdbnuze
Подменяет следующие файлы:
- %WINDIR%\gskymhux2g\epdbnuze
Сетевая активность:
Подключается к:
- 'se######nbenjaminson.net':80
- 'ch######abenjaminson.net':80
- 'ch#####nacartwright.net':80
- 'ch######ablackbourne.net':80
- 'se#####ancartwright.net':80
- 'de######tbreckenridge.net':80
- 'la#####iawashington.net':80
- 'la######abreckenridge.net':80
- 'la#####iastrickland.net':80
- 'de#####ststrickland.net':80
- 'cl#####ndcartwright.net':80
- 'ch#####necartwright.net':80
- 'ch######eblackbourne.net':80
- 'ch#####nechancellor.net':80
- 'cl######dblackbourne.net':80
- 'ch#####nachancellor.net':80
- 'se######nblackbourne.net':80
- 'se#####anchancellor.net':80
- 'cl######dbenjaminson.net':80
- 'ch######ebenjaminson.net':80
- 'de#####stwashington.net':80
- 'ch######abreckenridge.net':80
- 'ka#####rawashington.net':80
- 'ka######abreckenridge.net':80
- 'ka#####rastrickland.net':80
- 'ch#####tastrickland.net':80
- 'co#####cestrickland.net':80
- 'ha#####tastrickland.net':80
- 'ch######awinterbottom.net':80
- 'ch#####tawashington.net':80
- 'ka######awinterbottom.net':80
- 'ma#####anstrickland.net':80
- 'pr######abreckenridge.net':80
- 'pr#####lastrickland.net':80
- 'la######awinterbottom.net':80
- 'de######twinterbottom.net':80
- 'pr######awinterbottom.net':80
- 'ma######nwinterbottom.net':80
- 'ma#####anwashington.net':80
- 'ma######nbreckenridge.net':80
- 'pr#####lawashington.net':80
TCP:
Запросы HTTP GET:
- http://se######nbenjaminson.net/index.php
- http://ch######abenjaminson.net/index.php
- http://ch#####nacartwright.net/index.php
- http://ch######ablackbourne.net/index.php
- http://se#####ancartwright.net/index.php
- http://de######tbreckenridge.net/index.php
- http://la#####iawashington.net/index.php
- http://la######abreckenridge.net/index.php
- http://la#####iastrickland.net/index.php
- http://de#####ststrickland.net/index.php
- http://cl#####ndcartwright.net/index.php
- http://ch#####necartwright.net/index.php
- http://ch######eblackbourne.net/index.php
- http://ch#####nechancellor.net/index.php
- http://cl######dblackbourne.net/index.php
- http://ch#####nachancellor.net/index.php
- http://se######nblackbourne.net/index.php
- http://se#####anchancellor.net/index.php
- http://cl######dbenjaminson.net/index.php
- http://ch######ebenjaminson.net/index.php
- http://de#####stwashington.net/index.php
- http://ch######abreckenridge.net/index.php
- http://ka#####rawashington.net/index.php
- http://ka######abreckenridge.net/index.php
- http://ka#####rastrickland.net/index.php
- http://ch#####tastrickland.net/index.php
- http://co#####cestrickland.net/index.php
- http://ha#####tastrickland.net/index.php
- http://ch######awinterbottom.net/index.php
- http://ch#####tawashington.net/index.php
- http://ka######awinterbottom.net/index.php
- http://ma#####anstrickland.net/index.php
- http://pr######abreckenridge.net/index.php
- http://pr#####lastrickland.net/index.php
- http://la######awinterbottom.net/index.php
- http://de######twinterbottom.net/index.php
- http://pr######awinterbottom.net/index.php
- http://ma######nwinterbottom.net/index.php
- http://ma#####anwashington.net/index.php
- http://ma######nbreckenridge.net/index.php
- http://pr#####lawashington.net/index.php
UDP:
- DNS ASK se######nbenjaminson.net
- DNS ASK ch######abenjaminson.net
- DNS ASK ch#####nacartwright.net
- DNS ASK ch######ablackbourne.net
- DNS ASK se#####ancartwright.net
- DNS ASK de######tbreckenridge.net
- DNS ASK la#####iawashington.net
- DNS ASK la######abreckenridge.net
- DNS ASK la#####iastrickland.net
- DNS ASK de#####ststrickland.net
- DNS ASK se######nblackbourne.net
- DNS ASK ch######eblackbourne.net
- DNS ASK cl#####ndcartwright.net
- DNS ASK cl######dblackbourne.net
- DNS ASK cl#####ndchancellor.net
- DNS ASK ch#####nechancellor.net
- DNS ASK se#####anchancellor.net
- DNS ASK ch#####nachancellor.net
- DNS ASK ch######ebenjaminson.net
- DNS ASK ch#####necartwright.net
- DNS ASK cl######dbenjaminson.net
- DNS ASK ch######abreckenridge.net
- DNS ASK ka#####rawashington.net
- DNS ASK ka######abreckenridge.net
- DNS ASK ka#####rastrickland.net
- DNS ASK ch#####tastrickland.net
- DNS ASK co#####cestrickland.net
- DNS ASK ha#####tastrickland.net
- DNS ASK ch######awinterbottom.net
- DNS ASK ch#####tawashington.net
- DNS ASK ka######awinterbottom.net
- DNS ASK ma######nwinterbottom.net
- DNS ASK pr#####lastrickland.net
- DNS ASK ma#####anstrickland.net
- DNS ASK de######twinterbottom.net
- DNS ASK de#####stwashington.net
- DNS ASK la######awinterbottom.net
- DNS ASK ma#####anwashington.net
- DNS ASK pr######awinterbottom.net
- DNS ASK pr#####lawashington.net
- DNS ASK pr######abreckenridge.net
- DNS ASK ma######nbreckenridge.net
