Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run] '3100924223' = '%ALLUSERSPROFILE%\msibszk.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует:
- Компонент восстановления системы (SR)
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%TEMP%\3.tmp'
- '%TEMP%\2.tmp'
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' netsvcs
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\msiexec.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\ec525f4\ec525f4.exe
- %APPDATA%\ec525f4.exe
- %TEMP%\2.tmp
- %TEMP%\3.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %ALLUSERSPROFILE%\msibszk.exe
Перемещает следующие файлы:
- %TEMP%\3.tmp в %ALLUSERSPROFILE%\msibszk.exe
Сетевая активность:
Подключается к:
- 'eh#c.us':80
- 'sa###cyber.com':80
- 'ca#####n-guvenlik.com':80
- 'yo#####ofreshional.com':80
- 'tr##a.com':80
- 'bi####easset.com':80
- 'bu#####uslim-online.com':80
- 'bi###xbjx.com':80
- 'in###world.com':80
- 'fi###ade.com':80
- 'dr###italmd.com':80
- 'bn##9.com':80
- 'ou#####ateonline.com':80
- 'cu###yip.com':80
- 'sh####ngblue.net':80
- 'sh##k09.com':80
- '20#.#6.232.182':80
- 'ip##ddr.es':80
- 'my####rnalip.com':80
- 'az###soft.com':80
- 'fu##ng8.com':80
- 'so###chae.com':80
- 'se##am.com':80
- 'fc####iaunited.com':80
- 'st####oosphoto.com':80
TCP:
Запросы HTTP GET:
- http://cu###yip.com/
- http://my####rnalip.com/raw
- http://ip##ddr.es/
Запросы HTTP POST:
- http://ca#####n-guvenlik.com/img4.php?i=###########
- http://fi###ade.com/img2.php?r=###########
- http://sa###cyber.com/img2.php?h=###########
- http://bi####easset.com/img5.php?r=###########
- http://eh#c.us/img4.php?z=###########
- http://bi###xbjx.com/img2.php?w=###########
- http://in###world.com/img3.php?f=###########
- http://bu#####uslim-online.com/img5.php?s=###########
- http://dr###italmd.com/img1.php?j=###########
- http://bn##9.com/img3.php?a=###########
- http://tr##a.com/img3.php?k=###########
- http://fc####iaunited.com/img5.php?h=###########
- http://st####oosphoto.com/img4.php?r=###########
- http://se##am.com/img4.php?l=###########
- http://sh####ngblue.net/bio/biography.php
- http://sh##k09.com/img2.php?t=###########
- http://ou#####ateonline.com/img3.php?k=###########
- http://yo#####ofreshional.com/img1.php?a=###########
- http://so###chae.com/img4.php?d=###########
- http://az###soft.com/img1.php?y=###########
- http://fu##ng8.com/img5.php?l=###########
UDP:
- DNS ASK eh#c.us
- DNS ASK sa###cyber.com
- DNS ASK ca#####n-guvenlik.com
- DNS ASK bi####easset.com
- DNS ASK ou#####ateonline.com
- DNS ASK yo#####ofreshional.com
- DNS ASK tr##a.com
- DNS ASK bi###xbjx.com
- DNS ASK in###world.com
- DNS ASK 90.###fband.info
- DNS ASK bu#####uslim-online.com
- DNS ASK fi###ade.com
- DNS ASK dr###italmd.com
- DNS ASK bn##9.com
- DNS ASK so###chae.com
- DNS ASK sh####ngblue.net
- DNS ASK my####rnalip.com
- DNS ASK cu###yip.com
- DNS ASK eu####.pool.ntp.org
- DNS ASK up####.microsoft.com
- DNS ASK ip##ddr.es
- DNS ASK st####oosphoto.com
- DNS ASK az###soft.com
- DNS ASK fu##ng8.com
- DNS ASK sh##k09.com
- DNS ASK se##am.com
- DNS ASK fc####iaunited.com
- 'localhost':1037
- 'eu####.pool.ntp.org':123
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
