Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d9' = '%APPDATA%\1e6f17d9.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d' = 'C:\1e6f17d9\1e6f17d9.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\1e6f17d9.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\1e6f17d9.exe
- C:\1e6f17d9\1e6f17d9.exe
Сетевая активность:
Подключается к:
- 'gu###ones.com':80
- 'no###aron.com':80
- 'fo####imagenes.com':80
- 'ka##an.ru':80
- 'ib##a.com':80
- 'xo##n.com':80
- 'be#####eoyunlari.org':80
- 'da#.#vc.uab.es':80
- 'cu###yip.com':80
- 'my####rnalip.com':80
- 'ip##ddr.es':80
- 'mi####lserwa.com':80
- 'ro####apartman.hu':80
- 'ka###ewelry.com':80
- 'le##ptic.ro':80
TCP:
Запросы HTTP GET:
- http://cu###yip.com/
- http://my####rnalip.com/raw
- http://ip##ddr.es/
Запросы HTTP POST:
- http://ka##an.ru/wp-content/plugins/nextgen-gallery/products/photocrati_nextgen/modules/nextgen_gallery_display/templates/list/a.php?y=##########
- http://gu###ones.com/wp-content/themes/twentyeleven/a.php?u=##########
- http://no###aron.com/wp-content/plugins/contact-form-7/includes/js/jquery-ui/themes/smoothness/images/a.php?d=##########
- http://ib##a.com/blog/wp-content/plugins/scribe/lib/history/views/meta-box/c.php?b=##########
- http://xo##n.com/wp-content/themes/twentythirteen/e.php?s=##########
- http://be#####eoyunlari.org/wp-content/themes/twentytwelve/b.php?l=##########
- http://ka###ewelry.com/il/wp-content/plugins/ninja-forms/includes/admin/pages/ninja-forms-settings/tabs/c.php?z=##########
- http://le##ptic.ro/wp-content/themes/twentytwelve/c.php?w=##########
- http://mi####lserwa.com/wp-content/plugins/wp-db-backup-made/a.php?c=##########
- http://fo####imagenes.com/wp-content/plugins/wp-mobile-edition/admin/includes/mobile_themes/mTheme-Unus/images/blue/a.php?c=##########
- http://da#.#vc.uab.es/wordpress/wp-content/plugins/wp-db-backup-made1/d.php?r=##########
- http://ro####apartman.hu/de/wp-content/plugins/wp-db-backup-made/e.php?t=##########
UDP:
- DNS ASK gu###ones.com
- DNS ASK no###aron.com
- DNS ASK fo####imagenes.com
- DNS ASK ka##an.ru
- DNS ASK ib##a.com
- DNS ASK xo##n.com
- DNS ASK be#####eoyunlari.org
- DNS ASK da#.#vc.uab.es
- DNS ASK cu###yip.com
- DNS ASK my####rnalip.com
- DNS ASK ip##ddr.es
- DNS ASK mi####lserwa.com
- DNS ASK ro####apartman.hu
- DNS ASK ka###ewelry.com
- DNS ASK le##ptic.ro
