Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Defragmenter Desktop Services' = '<SYSTEM32>\ungwotqhbkj.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Alerts List Spooler WebClient Session] 'ImagePath' = '<SYSTEM32>\ungwotqhbkj.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Alerts List Spooler WebClient Session] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Запускает на исполнение:
- '<SYSTEM32>\cwmmabiscj.exe' "<SYSTEM32>\ungwotqhbkj.exe"
- '%WINDIR%\Temp\z0faebi2jdt7rdmki.exe' -r 42660 tcp
- '%TEMP%\z0faebelflazrdmkijpeydyv.exe'
- '<SYSTEM32>\ungwotqhbkj.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\pucghzfwcb\run
- <SYSTEM32>\pucghzfwcb\rng
- %WINDIR%\Temp\z0faebi2jdt7rdmki.exe
- <SYSTEM32>\pucghzfwcb\cfg
- %TEMP%\z0faebelflazrdmkijpeydyv.exe
- <SYSTEM32>\pucghzfwcb\tst
- <SYSTEM32>\cwmmabiscj.exe
- <SYSTEM32>\ungwotqhbkj.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\cwmmabiscj.exe
- <SYSTEM32>\ungwotqhbkj.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\z0faebi2jdt7rdmki.exe
- %TEMP%\z0faebelflazrdmkijpeydyv.exe
Сетевая активность:
Подключается к:
- 'we###oss.net':80
- 'ta###uncle.net':80
- 'fe###oss.net':80
- 'we###tudy.ru':80
- 'we###tudy.net':80
- 'ta###uncle.ru':80
- 'ca###nce.net':80
- 'ta###study.net':80
- 'le###ncle.net':80
- 'we###nce.net':80
- 'fe###nce.net':80
- 'ko###rpig.xyz':80
- 'la###aha.xyz':80
- 'ch###boris.ru':80
- 'lo####thepings.ru':80
- 'po###lols.ru':80
- 'po###alal.site':80
- 'fe###ncle.net':80
- 'fe###tudy.net':80
- 'ru##nds.top':80
- 'ri###nafap.site':80
- 'bi###rfans.top':80
TCP:
Запросы HTTP GET:
- http://we###oss.net/index.php
- http://ta###uncle.net/index.php
- http://fe###oss.net/index.php
- http://we###tudy.ru/index.php
- http://we###tudy.net/index.php
- http://ta###uncle.ru/index.php
- http://ca###nce.net/index.php
- http://ta###study.net/index.php
- http://le###ncle.net/index.php
- http://we###nce.net/index.php
- http://fe###nce.net/index.php
- http://ko###rpig.xyz/index.php
- http://la###aha.xyz/index.php
- http://ch###boris.ru/index.php
- http://lo####thepings.ru/index.php
- http://po###lols.ru/index.php
- http://po###alal.site/index.php
- http://fe###ncle.net/index.php
- http://fe###tudy.net/index.php
- http://ru##nds.top/index.php
- http://ri###nafap.site/index.php
- http://bi###rfans.top/index.php
UDP:
- DNS ASK th###wall.net
- DNS ASK li##wall.ru
- DNS ASK li###all.net
- DNS ASK li###ther.net
- DNS ASK th###forty.net
- DNS ASK li###orty.net
- DNS ASK th###other.net
- DNS ASK fe###ther.ru
- DNS ASK fe###ther.net
- DNS ASK we###ther.net
- DNS ASK we###orty.net
- DNS ASK fe###ree.net
- DNS ASK we###ree.net
- DNS ASK fe###orty.net
- DNS ASK th###forty.ru
- DNS ASK fi###free.net
- DNS ASK so###forty.net
- DNS ASK fi###forty.net
- DNS ASK so###free.net
- DNS ASK fa###loss.net
- DNS ASK fa###once.net
- DNS ASK so###free.ru
- DNS ASK fi###wall.net
- DNS ASK th###free.net
- DNS ASK li###ree.net
- DNS ASK so###wall.net
- DNS ASK so###other.net
- DNS ASK fi###other.ru
- DNS ASK fi###other.net
- DNS ASK fe###all.net
- DNS ASK ca###all.net
- DNS ASK no##free.ru
- DNS ASK no###ree.net
- DNS ASK po###wall.net
- DNS ASK ca###orty.net
- DNS ASK po###other.net
- DNS ASK ca###ther.net
- DNS ASK we###orty.ru
- DNS ASK no##wall.ru
- DNS ASK ri###ree.net
- DNS ASK no###all.net
- DNS ASK no###orty.net
- DNS ASK no###ther.net
- DNS ASK li###ther.ru
- DNS ASK ca###orty.ru
- DNS ASK ta###forty.net
- DNS ASK le###orty.net
- DNS ASK ta###other.net
- DNS ASK le###ree.net
- DNS ASK we###all.net
- DNS ASK ta###free.net
- DNS ASK le##free.ru
- DNS ASK po###free.net
- DNS ASK ca###ree.net
- DNS ASK po###forty.net
- DNS ASK ta###wall.net
- DNS ASK le###ther.net
- DNS ASK ta###wall.ru
- DNS ASK le###all.net
- DNS ASK le###ncle.net
- DNS ASK ca###nce.net
- DNS ASK ta###study.net
- DNS ASK fe###nce.net
- DNS ASK ta###uncle.net
- DNS ASK ta###uncle.ru
- DNS ASK we###nce.net
- DNS ASK ca###tudy.net
- DNS ASK le##loss.ru
- DNS ASK ca###ncle.net
- DNS ASK th###once.ru
- DNS ASK le###oss.net
- DNS ASK po###study.ru
- DNS ASK le###nce.net
- DNS ASK we###oss.net
- DNS ASK la###aha.xyz
- DNS ASK po###alal.site
- DNS ASK ri###nafap.site
- DNS ASK ko###rpig.xyz
- DNS ASK lo####thepings.ru
- DNS ASK po###lols.ru
- DNS ASK ch###boris.ru
- DNS ASK we###tudy.ru
- DNS ASK we###tudy.net
- DNS ASK fe###oss.net
- DNS ASK fe###tudy.net
- DNS ASK bi###rfans.top
- DNS ASK ru##nds.top
- DNS ASK fe###ncle.net
- DNS ASK ca##once.ru
- DNS ASK no###ncle.ru
- DNS ASK we##once.ru
- DNS ASK li###oss.net
- DNS ASK no###oss.net
- DNS ASK li###tudy.net
- DNS ASK no###ncle.net
- DNS ASK fa###study.ru
- DNS ASK ri###oss.net
- DNS ASK ri###nce.net
- DNS ASK fa###study.net
- DNS ASK ri###ncle.net
- DNS ASK fa###uncle.net
- DNS ASK ri###tudy.net
- DNS ASK ca###oss.net
- DNS ASK ta###once.net
- DNS ASK po###loss.net
- DNS ASK le###tudy.net
- DNS ASK li###nce.net
- DNS ASK ta###loss.net
- DNS ASK th###once.net
- DNS ASK po###study.net
- DNS ASK no###tudy.net
- DNS ASK li###ncle.net
- DNS ASK we###ncle.net
- DNS ASK po###once.net
- DNS ASK no###nce.net
- DNS ASK po###uncle.net
- DNS ASK no##loss.ru
- '23#.#55.255.250':1900
