Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Task Helper Bluetooth Remote Backup Resolution' = 'C:\b4glnmfx\wemntcgklilkq.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Solutions Filtering Player] 'ImagePath' = 'C:\b4glnmfx\wemntcgklilkq.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Solutions Filtering Player] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\b4glnmfx\qvglhmium.exe' "c:\b4glnmfx\wemntcgklilkq.exe"
- 'C:\b4glnmfx\wemntcgklilkq.exe'
- 'C:\b4glnmfx\zuppsdlb2psemmksi0lp77l.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\b4glnmfx\wemntcgklilkq.exe
- C:\b4glnmfx\qvglhmium.exe
- C:\b4glnmfx\gu1dwm2
- %WINDIR%\b4glnmfx\poyhasfm
- C:\b4glnmfx\poyhasfm
- C:\b4glnmfx\zuppsdlb2psemmksi0lp77l.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\b4glnmfx\qvglhmium.exe
- C:\b4glnmfx\wemntcgklilkq.exe
Удаляет следующие файлы:
- C:\b4glnmfx\zuppsdlb2psemmksi0lp77l.exe
- %WINDIR%\b4glnmfx\poyhasfm
Подменяет следующие файлы:
- %WINDIR%\b4glnmfx\poyhasfm
Сетевая активность:
Подключается к:
- 'an#####lebradford.net':80
- 'gu#####enkiersten.net':80
- 'an#####lecheyenne.net':80
- 'gu#####enbradford.net':80
- 'an#####lesymphony.net':80
- 'ch#####lecheyenne.net':80
- 'an#####lekiersten.net':80
- 'gu#####ensymphony.net':80
- 'gu#####encheyenne.net':80
- 'ch#####anbradford.net':80
- 'gw#####rebradford.net':80
- 'ch#####ancheyenne.net':80
- 'gw#####recheyenne.net':80
- 'ch#####ansymphony.net':80
- 'gw#####resymphony.net':80
- 'ch#####ankiersten.net':80
- 'gw#####rekiersten.net':80
- 'ge#####nacheyenne.net':80
- 'ar#####ldkiersten.net':80
- 'za#####ahsymphony.net':80
- 'ar#####ldbradford.net':80
- 'za#####ahkiersten.net':80
- 'ch#####necheyenne.net':80
- 'sh#####lebradford.net':80
- 'ar#####ldsymphony.net':80
- 'sh#####lecheyenne.net':80
- 'za#####ahbradford.net':80
- 'ch#####lekiersten.net':80
- 'ge#####nakiersten.net':80
- 'ch#####lebradford.net':80
- 'ge#####nabradford.net':80
- 'za#####ahcheyenne.net':80
- 'ar#####ldcheyenne.net':80
- 'ch#####lesymphony.net':80
- 'ge#####nasymphony.net':80
TCP:
Запросы HTTP GET:
- http://an#####lebradford.net/index.php
- http://gu#####enkiersten.net/index.php
- http://an#####lecheyenne.net/index.php
- http://gu#####enbradford.net/index.php
- http://an#####lesymphony.net/index.php
- http://ch#####lecheyenne.net/index.php
- http://an#####lekiersten.net/index.php
- http://gu#####ensymphony.net/index.php
- http://gu#####encheyenne.net/index.php
- http://ch#####anbradford.net/index.php
- http://gw#####rebradford.net/index.php
- http://ch#####ancheyenne.net/index.php
- http://gw#####recheyenne.net/index.php
- http://ch#####ansymphony.net/index.php
- http://gw#####resymphony.net/index.php
- http://ch#####ankiersten.net/index.php
- http://gw#####rekiersten.net/index.php
- http://ge#####nacheyenne.net/index.php
- http://ar#####ldkiersten.net/index.php
- http://za#####ahsymphony.net/index.php
- http://ar#####ldbradford.net/index.php
- http://za#####ahkiersten.net/index.php
- http://ch#####necheyenne.net/index.php
- http://sh#####lebradford.net/index.php
- http://ar#####ldsymphony.net/index.php
- http://sh#####lecheyenne.net/index.php
- http://za#####ahbradford.net/index.php
- http://ch#####lekiersten.net/index.php
- http://ge#####nakiersten.net/index.php
- http://ch#####lebradford.net/index.php
- http://ge#####nabradford.net/index.php
- http://za#####ahcheyenne.net/index.php
- http://ar#####ldcheyenne.net/index.php
- http://ch#####lesymphony.net/index.php
- http://ge#####nasymphony.net/index.php
UDP:
- DNS ASK gu#####enbradford.net
- DNS ASK an#####lebradford.net
- DNS ASK gu#####encheyenne.net
- DNS ASK an#####lecheyenne.net
- DNS ASK gu#####enkiersten.net
- DNS ASK an#####lesymphony.net
- DNS ASK ch#####lecheyenne.net
- DNS ASK an#####lekiersten.net
- DNS ASK gu#####ensymphony.net
- DNS ASK gw#####recheyenne.net
- DNS ASK ch#####anbradford.net
- DNS ASK ka#####nemarcelyn.net
- DNS ASK ch#####ancheyenne.net
- DNS ASK gw#####rebradford.net
- DNS ASK ch#####ansymphony.net
- DNS ASK gw#####resymphony.net
- DNS ASK ch#####ankiersten.net
- DNS ASK gw#####rekiersten.net
- DNS ASK za#####ahkiersten.net
- DNS ASK ar#####ldkiersten.net
- DNS ASK za#####ahbradford.net
- DNS ASK ar#####ldbradford.net
- DNS ASK za#####ahsymphony.net
- DNS ASK ch#####necheyenne.net
- DNS ASK sh#####lebradford.net
- DNS ASK ar#####ldsymphony.net
- DNS ASK sh#####lecheyenne.net
- DNS ASK ge#####nabradford.net
- DNS ASK ch#####lekiersten.net
- DNS ASK ge#####nacheyenne.net
- DNS ASK ch#####lebradford.net
- DNS ASK ge#####nakiersten.net
- DNS ASK za#####ahcheyenne.net
- DNS ASK ar#####ldcheyenne.net
- DNS ASK ch#####lesymphony.net
- DNS ASK ge#####nasymphony.net
