Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Print Process Disk Tablet Agent Video' = 'C:\zdscwkf\se3zf22w.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Card Source Media NetBIOS Accounts] 'ImagePath' = 'C:\zdscwkf\se3zf22w.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Card Source Media NetBIOS Accounts] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\zdscwkf\ok8trpi1j2.exe' "c:\zdscwkf\se3zf22w.exe"
- 'C:\zdscwkf\se3zf22w.exe'
- 'C:\zdscwkf\hcwmtd2ts2ofqknhhdo8.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\zdscwkf\se3zf22w.exe
- C:\zdscwkf\ok8trpi1j2.exe
- C:\zdscwkf\kcgxfjezwmj
- %WINDIR%\zdscwkf\rplhnasdu1n
- C:\zdscwkf\rplhnasdu1n
- C:\zdscwkf\hcwmtd2ts2ofqknhhdo8.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\zdscwkf\ok8trpi1j2.exe
- C:\zdscwkf\se3zf22w.exe
Удаляет следующие файлы:
- C:\zdscwkf\hcwmtd2ts2ofqknhhdo8.exe
- %WINDIR%\zdscwkf\rplhnasdu1n
Подменяет следующие файлы:
- %WINDIR%\zdscwkf\rplhnasdu1n
Сетевая активность:
Подключается к:
- 'al######iabloodworth.net':80
- 'ch######ellebloodworth.net':80
- 'ch#######lleswindlehurst.net':80
- 'ch######elleabrahamson.net':80
- 'al######iaswindlehurst.net':80
- 'al#######achristopherson.net':80
- 'er#####udeelisabeth.net':80
- 'al#####reaelisabeth.net':80
- 'al#####reacheyanne.net':80
- 'ch#######llechristopherson.net':80
- 'er#####udecheyanne.net':80
- 'ki######ighabrahamson.net':80
- 'be######teswindlehurst.net':80
- 'be######teabrahamson.net':80
- 're#######echristopherson.net':80
- 'ch#######lchristopherson.net':80
- 'ki######ighswindlehurst.net':80
- 'ki#######ghchristopherson.net':80
- 'al######iaabrahamson.net':80
- 'be#######echristopherson.net':80
- 'be######tebloodworth.net':80
- 'ki######ighbloodworth.net':80
- 'er#####udegloriana.net':80
- 'ch######herelisabeth.net':80
- 'te#####ncegloriana.net':80
- 'te#####nceelisabeth.net':80
- 'te#####ncecheyanne.net':80
- 'ch#####phercheyanne.net':80
- 'ch#####phergloriana.net':80
- 'ch#####annecheyanne.net':80
- 'ma#####ttaelisabeth.net':80
- 'ma#####ttacheyanne.net':80
- 'te#####nceeglantine.net':80
- 'ch######hereglantine.net':80
- 'mo#####erycheyanne.net':80
- 'ch#####belcheyanne.net':80
- 'al#####reaeglantine.net':80
- 'al#####reagloriana.net':80
- 'er#####udeeglantine.net':80
- 'mo#####eryelisabeth.net':80
- 'mo#####eryeglantine.net':80
- 'ch#####beleglantine.net':80
- 'ch#####belgloriana.net':80
- 'ch#####belelisabeth.net':80
- 'mo#####erygloriana.net':80
TCP:
Запросы HTTP GET:
- http://al######iabloodworth.net/index.php
- http://ch######ellebloodworth.net/index.php
- http://ch#######lleswindlehurst.net/index.php
- http://ch######elleabrahamson.net/index.php
- http://al######iaswindlehurst.net/index.php
- http://al#######achristopherson.net/index.php
- http://er#####udeelisabeth.net/index.php
- http://al#####reaelisabeth.net/index.php
- http://al#####reacheyanne.net/index.php
- http://ch#######llechristopherson.net/index.php
- http://er#####udecheyanne.net/index.php
- http://ki######ighabrahamson.net/index.php
- http://be######teswindlehurst.net/index.php
- http://be######teabrahamson.net/index.php
- http://re#######echristopherson.net/index.php
- http://ch#######lchristopherson.net/index.php
- http://ki######ighswindlehurst.net/index.php
- http://ki#######ghchristopherson.net/index.php
- http://al######iaabrahamson.net/index.php
- http://be#######echristopherson.net/index.php
- http://be######tebloodworth.net/index.php
- http://ki######ighbloodworth.net/index.php
- http://er#####udegloriana.net/index.php
- http://ch######herelisabeth.net/index.php
- http://te#####ncegloriana.net/index.php
- http://te#####nceelisabeth.net/index.php
- http://te#####ncecheyanne.net/index.php
- http://ch#####phercheyanne.net/index.php
- http://ch#####phergloriana.net/index.php
- http://ch#####annecheyanne.net/index.php
- http://ma#####ttaelisabeth.net/index.php
- http://ma#####ttacheyanne.net/index.php
- http://te#####nceeglantine.net/index.php
- http://ch######hereglantine.net/index.php
- http://mo#####erycheyanne.net/index.php
- http://ch#####belcheyanne.net/index.php
- http://al#####reaeglantine.net/index.php
- http://al#####reagloriana.net/index.php
- http://er#####udeeglantine.net/index.php
- http://mo#####eryelisabeth.net/index.php
- http://mo#####eryeglantine.net/index.php
- http://ch#####beleglantine.net/index.php
- http://ch#####belgloriana.net/index.php
- http://ch#####belelisabeth.net/index.php
- http://mo#####erygloriana.net/index.php
UDP:
- DNS ASK al######iabloodworth.net
- DNS ASK ch######ellebloodworth.net
- DNS ASK ch#######lleswindlehurst.net
- DNS ASK ch######elleabrahamson.net
- DNS ASK al######iaswindlehurst.net
- DNS ASK al#######achristopherson.net
- DNS ASK er#####udeelisabeth.net
- DNS ASK al#####reaelisabeth.net
- DNS ASK al#####reacheyanne.net
- DNS ASK ch#######llechristopherson.net
- DNS ASK er#####udecheyanne.net
- DNS ASK al######iaabrahamson.net
- DNS ASK be######teabrahamson.net
- DNS ASK ki######ighabrahamson.net
- DNS ASK ch#######lchristopherson.net
- DNS ASK ch######elbloodworth.net
- DNS ASK re#######echristopherson.net
- DNS ASK be######teswindlehurst.net
- DNS ASK be#######echristopherson.net
- DNS ASK ki#######ghchristopherson.net
- DNS ASK ki######ighbloodworth.net
- DNS ASK ki######ighswindlehurst.net
- DNS ASK be######tebloodworth.net
- DNS ASK ch######herelisabeth.net
- DNS ASK te#####ncegloriana.net
- DNS ASK te#####nceelisabeth.net
- DNS ASK te#####ncecheyanne.net
- DNS ASK ch#####phercheyanne.net
- DNS ASK ch#####phergloriana.net
- DNS ASK ch#####annecheyanne.net
- DNS ASK ma#####ttaelisabeth.net
- DNS ASK ma#####ttacheyanne.net
- DNS ASK te#####nceeglantine.net
- DNS ASK ch######hereglantine.net
- DNS ASK ch#####beleglantine.net
- DNS ASK al#####reaeglantine.net
- DNS ASK mo#####erycheyanne.net
- DNS ASK er#####udeeglantine.net
- DNS ASK er#####udegloriana.net
- DNS ASK al#####reagloriana.net
- DNS ASK ch#####belcheyanne.net
- DNS ASK ch#####belgloriana.net
- DNS ASK mo#####eryeglantine.net
- DNS ASK mo#####erygloriana.net
- DNS ASK mo#####eryelisabeth.net
- DNS ASK ch#####belelisabeth.net
