Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Transaction Web Level Networking Shell' = 'C:\yveqkdaxpc2\mxky6lh3vcvkd.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Accounts Keying Trap VC WWAN Now Policy] 'ImagePath' = 'C:\yveqkdaxpc2\mxky6lh3vcvkd.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Accounts Keying Trap VC WWAN Now Policy] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\yveqkdaxpc2\mc0njwjozj5d.exe' "c:\yveqkdaxpc2\mxky6lh3vcvkd.exe"
- 'C:\yveqkdaxpc2\mxky6lh3vcvkd.exe'
- 'C:\yveqkdaxpc2\fnyl8tp32spkl6lhdwqdte.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\yveqkdaxpc2\mxky6lh3vcvkd.exe
- C:\yveqkdaxpc2\mc0njwjozj5d.exe
- C:\yveqkdaxpc2\sxuuaos
- %WINDIR%\yveqkdaxpc2\zdbebhoyztp
- C:\yveqkdaxpc2\zdbebhoyztp
- C:\yveqkdaxpc2\fnyl8tp32spkl6lhdwqdte.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\yveqkdaxpc2\mc0njwjozj5d.exe
- C:\yveqkdaxpc2\mxky6lh3vcvkd.exe
Удаляет следующие файлы:
- C:\yveqkdaxpc2\fnyl8tp32spkl6lhdwqdte.exe
- %WINDIR%\yveqkdaxpc2\zdbebhoyztp
Подменяет следующие файлы:
- %WINDIR%\yveqkdaxpc2\zdbebhoyztp
Сетевая активность:
Подключается к:
- 'me#####herelizabeth.net':80
- 'ca#####neburgundy.net':80
- 'ca#####neelizabeth.net':80
- 'ca#####necherette.net':80
- 'me#####hercherette.net':80
- 'st#####iakristina.net':80
- 'si#####tekristina.net':80
- 'me#####herjaqueline.net':80
- 'me#####herburgundy.net':80
- 'ca#####nejaqueline.net':80
- 'ma#####inecherette.net':80
- 'jo#####neelizabeth.net':80
- 'jo#####necherette.net':80
- 'sy#####erjaqueline.net':80
- 'wi#####edjaqueline.net':80
- 'jo#####nejaqueline.net':80
- 'ma#####inejaqueline.net':80
- 'ma#####ineburgundy.net':80
- 'ma#####ineelizabeth.net':80
- 'jo#####neburgundy.net':80
- 'st#####iagallagher.net':80
- 'ki#####eykristina.net':80
- 'je#####tekristina.net':80
- 'ma#####nephilomena.net':80
- 'ma#####nefrederick.net':80
- 'gr#####lephilomena.net':80
- 'je#####tefrederick.net':80
- 'ki#####eyphilomena.net':80
- 'ki#####eyfrederick.net':80
- 'ki#####eygallagher.net':80
- 'je#####tegallagher.net':80
- 'st#####iaphilomena.net':80
- 'si#####tephilomena.net':80
- 'si#####tefrederick.net':80
- 'si#####tegallagher.net':80
- 'st#####iafrederick.net':80
- 'ma#####negallagher.net':80
- 'gr#####lefrederick.net':80
- 'gr#####legallagher.net':80
- 'gr#####lekristina.net':80
- 'ma#####nekristina.net':80
TCP:
Запросы HTTP GET:
- http://me#####herelizabeth.net/index.php
- http://ca#####neburgundy.net/index.php
- http://ca#####neelizabeth.net/index.php
- http://ca#####necherette.net/index.php
- http://me#####hercherette.net/index.php
- http://st#####iakristina.net/index.php
- http://si#####tekristina.net/index.php
- http://me#####herjaqueline.net/index.php
- http://me#####herburgundy.net/index.php
- http://ca#####nejaqueline.net/index.php
- http://ma#####inecherette.net/index.php
- http://jo#####neelizabeth.net/index.php
- http://jo#####necherette.net/index.php
- http://sy#####erjaqueline.net/index.php
- http://wi#####edjaqueline.net/index.php
- http://jo#####nejaqueline.net/index.php
- http://ma#####inejaqueline.net/index.php
- http://ma#####ineburgundy.net/index.php
- http://ma#####ineelizabeth.net/index.php
- http://jo#####neburgundy.net/index.php
- http://st#####iagallagher.net/index.php
- http://ki#####eykristina.net/index.php
- http://je#####tekristina.net/index.php
- http://ma#####nephilomena.net/index.php
- http://ma#####nefrederick.net/index.php
- http://gr#####lephilomena.net/index.php
- http://je#####tefrederick.net/index.php
- http://ki#####eyphilomena.net/index.php
- http://ki#####eyfrederick.net/index.php
- http://ki#####eygallagher.net/index.php
- http://je#####tegallagher.net/index.php
- http://st#####iaphilomena.net/index.php
- http://si#####tephilomena.net/index.php
- http://si#####tefrederick.net/index.php
- http://si#####tegallagher.net/index.php
- http://st#####iafrederick.net/index.php
- http://ma#####negallagher.net/index.php
- http://gr#####lefrederick.net/index.php
- http://gr#####legallagher.net/index.php
- http://gr#####lekristina.net/index.php
- http://ma#####nekristina.net/index.php
UDP:
- DNS ASK me#####herelizabeth.net
- DNS ASK ca#####neburgundy.net
- DNS ASK ca#####neelizabeth.net
- DNS ASK ca#####necherette.net
- DNS ASK me#####hercherette.net
- DNS ASK st#####iakristina.net
- DNS ASK si#####tekristina.net
- DNS ASK me#####herjaqueline.net
- DNS ASK me#####herburgundy.net
- DNS ASK ca#####nejaqueline.net
- DNS ASK ma#####inejaqueline.net
- DNS ASK jo#####necherette.net
- DNS ASK ma#####inecherette.net
- DNS ASK wi#####edjaqueline.net
- DNS ASK wi#####edburgundy.net
- DNS ASK sy#####erjaqueline.net
- DNS ASK ma#####ineburgundy.net
- DNS ASK jo#####nejaqueline.net
- DNS ASK jo#####neburgundy.net
- DNS ASK jo#####neelizabeth.net
- DNS ASK ma#####ineelizabeth.net
- DNS ASK ki#####eykristina.net
- DNS ASK je#####tekristina.net
- DNS ASK ma#####nephilomena.net
- DNS ASK ma#####nefrederick.net
- DNS ASK gr#####lephilomena.net
- DNS ASK je#####tefrederick.net
- DNS ASK ki#####eyphilomena.net
- DNS ASK ki#####eyfrederick.net
- DNS ASK ki#####eygallagher.net
- DNS ASK je#####tegallagher.net
- DNS ASK gr#####lefrederick.net
- DNS ASK si#####tefrederick.net
- DNS ASK st#####iaphilomena.net
- DNS ASK st#####iafrederick.net
- DNS ASK st#####iagallagher.net
- DNS ASK si#####tegallagher.net
- DNS ASK gr#####legallagher.net
- DNS ASK ma#####negallagher.net
- DNS ASK ma#####nekristina.net
- DNS ASK si#####tephilomena.net
- DNS ASK gr#####lekristina.net
