Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Provider Desktop Server Quality Color' = 'C:\p1dcnbv\fdulsifrlw.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Background Source Engine Management] 'ImagePath' = 'C:\p1dcnbv\fdulsifrlw.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Background Source Engine Management] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\p1dcnbv\jhwlswldqowz.exe' "c:\p1dcnbv\fdulsifrlw.exe"
- 'C:\p1dcnbv\fdulsifrlw.exe'
- 'C:\p1dcnbv\mbivphh454uygoxdfj4qfr.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\p1dcnbv\fdulsifrlw.exe
- C:\p1dcnbv\jhwlswldqowz.exe
- C:\p1dcnbv\czzass
- %WINDIR%\p1dcnbv\g2wllyc6
- C:\p1dcnbv\g2wllyc6
- C:\p1dcnbv\mbivphh454uygoxdfj4qfr.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\p1dcnbv\jhwlswldqowz.exe
- C:\p1dcnbv\fdulsifrlw.exe
Удаляет следующие файлы:
- C:\p1dcnbv\mbivphh454uygoxdfj4qfr.exe
- %WINDIR%\p1dcnbv\g2wllyc6
Подменяет следующие файлы:
- %WINDIR%\p1dcnbv\g2wllyc6
Сетевая активность:
Подключается к:
- 'ca#####nefrederica.net':80
- 'me#####herphilander.net':80
- 'me#####herfrederica.net':80
- 'me#####herpleasance.net':80
- 'ca#####nepleasance.net':80
- 'ma#####inepleasance.net':80
- 'jo#####nepleasance.net':80
- 'ca#####nebertrand.net':80
- 'ca#####nephilander.net':80
- 'me#####herbertrand.net':80
- 'er######dechancellor.net':80
- 'al######eabenjaminson.net':80
- 'er######debenjaminson.net':80
- 'mo######rychancellor.net':80
- 'mo######ryblackbourne.net':80
- 'ch######elchancellor.net':80
- 'er######deblackbourne.net':80
- 'al######eachancellor.net':80
- 'al######eablackbourne.net':80
- 'al######eacartwright.net':80
- 'er######decartwright.net':80
TCP:
Запросы HTTP GET:
- http://ca#####nefrederica.net/index.php
- http://me#####herphilander.net/index.php
- http://me#####herfrederica.net/index.php
- http://me#####herpleasance.net/index.php
- http://ca#####nepleasance.net/index.php
- http://ma#####inepleasance.net/index.php
- http://jo#####nepleasance.net/index.php
- http://ca#####nebertrand.net/index.php
- http://ca#####nephilander.net/index.php
- http://me#####herbertrand.net/index.php
- http://er######dechancellor.net/index.php
- http://al######eabenjaminson.net/index.php
- http://er######debenjaminson.net/index.php
- http://mo######rychancellor.net/index.php
- http://mo######ryblackbourne.net/index.php
- http://ch######elchancellor.net/index.php
- http://er######deblackbourne.net/index.php
- http://al######eachancellor.net/index.php
- http://al######eablackbourne.net/index.php
- http://al######eacartwright.net/index.php
- http://er######decartwright.net/index.php
UDP:
- DNS ASK ca#####nefrederica.net
- DNS ASK me#####herphilander.net
- DNS ASK me#####herfrederica.net
- DNS ASK me#####herpleasance.net
- DNS ASK ca#####nepleasance.net
- DNS ASK ca#####nephilander.net
- DNS ASK jo#####nepleasance.net
- DNS ASK ma#####inefrederica.net
- DNS ASK ma#####inepleasance.net
- DNS ASK me#####herbertrand.net
- DNS ASK ca#####nebertrand.net
- DNS ASK al######eabenjaminson.net
- DNS ASK er######debenjaminson.net
- DNS ASK mo######rychancellor.net
- DNS ASK mo######ryblackbourne.net
- DNS ASK ch######elchancellor.net
- DNS ASK al######eacartwright.net
- DNS ASK al######eachancellor.net
- DNS ASK er######dechancellor.net
- DNS ASK er######deblackbourne.net
- DNS ASK er######decartwright.net
- DNS ASK al######eablackbourne.net
