Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Task Problem Input Helper Encrypting' = '<SYSTEM32>\rrwmymauccfj.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\UPnP Tablet Program IKE IP Level] 'ImagePath' = '<SYSTEM32>\rrwmymauccfj.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\UPnP Tablet Program IKE IP Level] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Запускает на исполнение:
- '<SYSTEM32>\utnevdimtmr.exe' "<SYSTEM32>\rrwmymauccfj.exe"
- '%WINDIR%\Temp\vbagaaek3oryi9fkn.exe' -r 43536 tcp
- '%TEMP%\vbagaaek3e9wi9fknrmerawzj.exe'
- '<SYSTEM32>\rrwmymauccfj.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\jchriylcmqxqz\run
- <SYSTEM32>\jchriylcmqxqz\rng
- %WINDIR%\Temp\vbagaaek3oryi9fkn.exe
- <SYSTEM32>\jchriylcmqxqz\cfg
- <SYSTEM32>\utnevdimtmr.exe
- %TEMP%\vbagaaek3e9wi9fknrmerawzj.exe
- <SYSTEM32>\jchriylcmqxqz\tst
- <SYSTEM32>\rrwmymauccfj.exe
- <SYSTEM32>\jchriylcmqxqz\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\utnevdimtmr.exe
- <SYSTEM32>\rrwmymauccfj.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\vbagaaek3oryi9fkn.exe
- <DRIVERS>\etc\hosts
- %TEMP%\vbagaaek3e9wi9fknrmerawzj.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'fo###raise.net':80
- 'af###raise.net':80
- 'af###reach.net':80
- 'se###rice.net':80
- 'fo###reach.net':80
- 'af###price.net':80
- 'we###each.net':80
- 'fo###price.net':80
- 'fo###croud.net':80
- 'af###croud.net':80
- 'we####dayreach.net':80
- 'se###each.net':80
- 'dr###price.net':80
- 'dr###croud.net':80
- 'na###rice.net':80
- 'se###roud.net':80
- 'we####dayprice.net':80
- 'we####daycroud.net':80
- 'we####dayraise.net':80
- 'se###aise.net':80
- 'wa###rice.net':80
- 'mo###price.net':80
- 'mo###croud.net':80
- 'mo###raise.net':80
- 'wa###roud.net':80
- 'af###sllc.com':80
- 'ri###nstorm.net':80
- 'be##lxc.com':80
- 'fa###each.net':80
- 'de###lxc.com':80
- 'we###roud.net':80
- 'st###croud.net':80
- 'st###raise.net':80
- 'st###reach.net':80
- 'we###aise.net':80
- 'mo###reach.net':80
- 'wa###aise.net':80
- 'wa###each.net':80
- 'we###rice.net':80
- 'st###price.net':80
TCP:
Запросы HTTP GET:
- http://fo###raise.net/index.php
- http://af###raise.net/index.php
- http://af###reach.net/index.php
- http://se###rice.net/index.php
- http://fo###reach.net/index.php
- http://af###price.net/index.php
- http://we###each.net/index.php
- http://fo###price.net/index.php
- http://fo###croud.net/index.php
- http://af###croud.net/index.php
- http://we####dayreach.net/index.php
- http://se###each.net/index.php
- http://dr###price.net/index.php
- http://dr###croud.net/index.php
- http://na###rice.net/index.php
- http://se###roud.net/index.php
- http://we####dayprice.net/index.php
- http://we####daycroud.net/index.php
- http://we####dayraise.net/index.php
- http://se###aise.net/index.php
- http://wa###rice.net/index.php
- http://mo###price.net/index.php
- http://mo###croud.net/index.php
- http://mo###raise.net/index.php
- http://wa###roud.net/index.php
- http://af###sllc.com/index.php
- http://ri###nstorm.net/index.php
- http://be##lxc.com/index.php
- http://fa###each.net/index.php
- http://de###lxc.com/index.php
- http://we###roud.net/index.php
- http://st###croud.net/index.php
- http://st###raise.net/index.php
- http://st###reach.net/index.php
- http://we###aise.net/index.php
- http://mo###reach.net/index.php
- http://wa###aise.net/index.php
- http://wa###each.net/index.php
- http://we###rice.net/index.php
- http://st###price.net/index.php
UDP:
- DNS ASK fo###raise.net
- DNS ASK af###raise.net
- DNS ASK af###reach.net
- DNS ASK se###rice.net
- DNS ASK fo###reach.net
- DNS ASK af###price.net
- DNS ASK we###each.net
- DNS ASK fo###price.net
- DNS ASK fo###croud.net
- DNS ASK af###croud.net
- DNS ASK we####dayreach.net
- DNS ASK se###each.net
- DNS ASK dr###price.net
- DNS ASK dr###croud.net
- DNS ASK na###rice.net
- DNS ASK se###roud.net
- DNS ASK we####dayprice.net
- DNS ASK we####daycroud.net
- DNS ASK we####dayraise.net
- DNS ASK se###aise.net
- DNS ASK st###reach.net
- DNS ASK wa###rice.net
- DNS ASK mo###price.net
- DNS ASK wa###roud.net
- DNS ASK mo###croud.net
- DNS ASK fa###each.net
- DNS ASK af###sllc.com
- DNS ASK ri###nstorm.net
- DNS ASK de###lxc.com
- DNS ASK be##lxc.com
- DNS ASK mo###raise.net
- DNS ASK we###roud.net
- DNS ASK st###croud.net
- DNS ASK we###aise.net
- DNS ASK st###raise.net
- DNS ASK we###rice.net
- DNS ASK mo###reach.net
- DNS ASK wa###aise.net
- DNS ASK st###price.net
- DNS ASK wa###each.net
- '23#.#55.255.250':1900
