Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'CNG Debugger Agent Time Resolution' = 'C:\qlnczla4ey\lgcqrcyetdo.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Control Bus DCOM Provider Function Counter] 'ImagePath' = 'C:\qlnczla4ey\lgcqrcyetdo.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Control Bus DCOM Provider Function Counter] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\qlnczla4ey\likgmwr.exe' "c:\qlnczla4ey\lgcqrcyetdo.exe"
- 'C:\qlnczla4ey\lgcqrcyetdo.exe'
- 'C:\qlnczla4ey\vtmhtcl2g0eitfxgpofz.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\qlnczla4ey\lgcqrcyetdo.exe
- C:\qlnczla4ey\likgmwr.exe
- C:\qlnczla4ey\uuupryk
- %WINDIR%\qlnczla4ey\ztwhtiwda
- C:\qlnczla4ey\ztwhtiwda
- C:\qlnczla4ey\vtmhtcl2g0eitfxgpofz.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\qlnczla4ey\likgmwr.exe
- C:\qlnczla4ey\lgcqrcyetdo.exe
Удаляет следующие файлы:
- C:\qlnczla4ey\vtmhtcl2g0eitfxgpofz.exe
- %WINDIR%\qlnczla4ey\ztwhtiwda
Подменяет следующие файлы:
- %WINDIR%\qlnczla4ey\ztwhtiwda
Сетевая активность:
Подключается к:
- 'an#####lakatharyn.net':80
- 'ga#####leharriett.net':80
- 'an#####laharriett.net':80
- 'gr#####learaminta.net':80
- 'si#####eraraminta.net':80
- 'ga#####lekatharyn.net':80
- 'ga#####lecapricia.net':80
- 'ga#####lakatharyn.net':80
- 'br#####iakatharyn.net':80
- 'ga#####laharriett.net':80
- 'an#####lacapricia.net':80
- 'ga#####lesherisse.net':80
- 'an#####lasherisse.net':80
- 'kr#####lecharlize.net':80
- 'he#####oncharlize.net':80
- 'kr#####learaminta.net':80
- 'he#####onsheenagh.net':80
- 'kr#####lesherilyn.net':80
- 'he#####onsherilyn.net':80
- 'he#####onaraminta.net':80
- 'si#####ersherilyn.net':80
- 'gr#####lecharlize.net':80
- 'si#####ercharlize.net':80
- 'gr#####lesheenagh.net':80
- 'si#####ersheenagh.net':80
- 'gr#####lesherilyn.net':80
- 'he#####taharriett.net':80
- 'ge#####necapricia.net':80
- 'he#####tacapricia.net':80
- 'ge#####nekatharyn.net':80
- 'he#####takatharyn.net':80
- 'ge#####neharriett.net':80
- 'ge#####nesherisse.net':80
- 'br#####teharriett.net':80
- 'je#####onharriett.net':80
- 'br#####tecapricia.net':80
- 'he#####tasherisse.net':80
- 'br#####tekatharyn.net':80
- 'je#####onkatharyn.net':80
- 'ga#####lasherisse.net':80
- 'br#####iasherisse.net':80
- 'sh#####lekatharyn.net':80
- 'br#####iaharriett.net':80
- 'ga#####lacapricia.net':80
- 'br#####iacapricia.net':80
- 'gr#####orkatharyn.net':80
- 'gr#####orcapricia.net':80
- 'sh#####lesherisse.net':80
- 'gr#####orsherisse.net':80
- 'sh#####leharriett.net':80
- 'gr#####orharriett.net':80
- 'sh#####lecapricia.net':80
TCP:
Запросы HTTP GET:
- http://an#####lakatharyn.net/index.php
- http://ga#####leharriett.net/index.php
- http://an#####laharriett.net/index.php
- http://gr#####learaminta.net/index.php
- http://si#####eraraminta.net/index.php
- http://ga#####lekatharyn.net/index.php
- http://ga#####lecapricia.net/index.php
- http://ga#####lakatharyn.net/index.php
- http://br#####iakatharyn.net/index.php
- http://ga#####laharriett.net/index.php
- http://an#####lacapricia.net/index.php
- http://ga#####lesherisse.net/index.php
- http://an#####lasherisse.net/index.php
- http://kr#####lecharlize.net/index.php
- http://he#####oncharlize.net/index.php
- http://kr#####learaminta.net/index.php
- http://he#####onsheenagh.net/index.php
- http://kr#####lesherilyn.net/index.php
- http://he#####onsherilyn.net/index.php
- http://he#####onaraminta.net/index.php
- http://si#####ersherilyn.net/index.php
- http://gr#####lecharlize.net/index.php
- http://si#####ercharlize.net/index.php
- http://gr#####lesheenagh.net/index.php
- http://si#####ersheenagh.net/index.php
- http://gr#####lesherilyn.net/index.php
- http://he#####taharriett.net/index.php
- http://ge#####necapricia.net/index.php
- http://he#####tacapricia.net/index.php
- http://ge#####nekatharyn.net/index.php
- http://he#####takatharyn.net/index.php
- http://ge#####neharriett.net/index.php
- http://ge#####nesherisse.net/index.php
- http://br#####teharriett.net/index.php
- http://je#####onharriett.net/index.php
- http://br#####tecapricia.net/index.php
- http://he#####tasherisse.net/index.php
- http://br#####tekatharyn.net/index.php
- http://je#####onkatharyn.net/index.php
- http://ga#####lasherisse.net/index.php
- http://br#####iasherisse.net/index.php
- http://sh#####lekatharyn.net/index.php
- http://br#####iaharriett.net/index.php
- http://ga#####lacapricia.net/index.php
- http://br#####iacapricia.net/index.php
- http://gr#####orkatharyn.net/index.php
- http://gr#####orcapricia.net/index.php
- http://sh#####lesherisse.net/index.php
- http://gr#####orsherisse.net/index.php
- http://sh#####leharriett.net/index.php
- http://gr#####orharriett.net/index.php
- http://sh#####lecapricia.net/index.php
UDP:
- DNS ASK ga#####lekatharyn.net
- DNS ASK an#####lakatharyn.net
- DNS ASK ga#####leharriett.net
- DNS ASK si#####ercharlize.net
- DNS ASK gr#####learaminta.net
- DNS ASK si#####eraraminta.net
- DNS ASK an#####laharriett.net
- DNS ASK an#####lasherisse.net
- DNS ASK ga#####lakatharyn.net
- DNS ASK br#####iakatharyn.net
- DNS ASK ga#####lecapricia.net
- DNS ASK an#####lacapricia.net
- DNS ASK ga#####lesherisse.net
- DNS ASK he#####onsherilyn.net
- DNS ASK kr#####lecharlize.net
- DNS ASK he#####oncharlize.net
- DNS ASK kr#####lesheenagh.net
- DNS ASK he#####onsheenagh.net
- DNS ASK kr#####lesherilyn.net
- DNS ASK kr#####learaminta.net
- DNS ASK gr#####lesherilyn.net
- DNS ASK si#####ersherilyn.net
- DNS ASK gr#####lecharlize.net
- DNS ASK he#####onaraminta.net
- DNS ASK gr#####lesheenagh.net
- DNS ASK si#####ersheenagh.net
- DNS ASK ga#####laharriett.net
- DNS ASK he#####taharriett.net
- DNS ASK ge#####necapricia.net
- DNS ASK he#####tacapricia.net
- DNS ASK ge#####nekatharyn.net
- DNS ASK he#####takatharyn.net
- DNS ASK ge#####neharriett.net
- DNS ASK ge#####nesherisse.net
- DNS ASK br#####teharriett.net
- DNS ASK je#####onharriett.net
- DNS ASK br#####tecapricia.net
- DNS ASK he#####tasherisse.net
- DNS ASK br#####tekatharyn.net
- DNS ASK je#####onkatharyn.net
- DNS ASK ga#####lasherisse.net
- DNS ASK br#####iasherisse.net
- DNS ASK sh#####lekatharyn.net
- DNS ASK br#####iaharriett.net
- DNS ASK ga#####lacapricia.net
- DNS ASK br#####iacapricia.net
- DNS ASK gr#####orkatharyn.net
- DNS ASK gr#####orcapricia.net
- DNS ASK sh#####lesherisse.net
- DNS ASK gr#####orsherisse.net
- DNS ASK sh#####leharriett.net
- DNS ASK gr#####orharriett.net
- DNS ASK sh#####lecapricia.net
