Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '<LS_APPDATA>\f5a698ed\X'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\.ipsec] 'ImagePath' = '\?'
Вредоносные функции:
Создает и запускает на исполнение:
- <LS_APPDATA>\f5a698ed\X
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\f5a698ed\@
- <LS_APPDATA>\f5a698ed\X
- %WINDIR%\$NtUninstallKB37556$\4121336045\L\alehhooo
- %WINDIR%\$NtUninstallKB37556$\4121336045\@
Сетевая активность:
Подключается к:
- '19#.#4.222.206':21810
- '88.##5.111.172':21810
- '84.##3.159.171':21810
- '18#.#54.169.32':21810
- '17#.#23.38.199':21810
- '14#.#58.77.177':21810
- '58.##2.216.198':21810
- '62.##.110.22':21810
- '10#.#08.232.55':21810
- '79.##8.7.162':21810
- '21#.#25.167.165':21810
- '88.##8.32.52':21810
- '79.##6.206.31':21810
- '88.##7.28.214':21810
- '12#.#39.132.50':21810
- '20#.#9.97.192':21810
- '68.##.168.35':21810
- '11#.#10.177.191':21810
- '20#.#5.54.124':21810
- '49.##4.51.251':21810
- '11#.#36.133.37':21810
- '46.##7.20.41':21810
- '10#.#29.184.197':21810
- '18#.#4.18.187':21810
- '41.##1.142.182':21810
- '11#.#95.2.190':21810
- '12#.#38.23.191':21810
- '18#.#2.243.42':21810
- '65.##.239.48':21810
- '82.##9.61.57':21810
- '11#.#42.229.147':21810
- '18#.#51.63.147':21810
- '94.##.166.220':21810
- '17#.#8.152.148':21810
- '67.##.166.149':21810
- '11#.#98.150.19':21810
- '11#.#04.133.220':21810
- '98.##0.252.133':21810
- '20#.42.4.73':21810
- '11#.#84.216.221':21810
- '18#.#3.151.135':21810
- '20#.#8.250.17':21810
- '97.##0.161.74':21810
- '85.##.170.17':21810
- '89.##5.89.150':21810
- '63.##8.171.155':21810
- '94.##3.51.219':21810
- '17#.#50.11.66':21810
- '76.##1.218.58':21810
- '88.##6.38.53':21810
- '19#.#0.35.218':21810
- '86.##2.22.21':21810
- '18#.#44.202.219':21810
- '17#.#18.107.150':21810
- '18#.#66.196.150':21810
- '19#.#5.242.69':21810
- '18#.#3.117.153':21810
- '10#.#01.170.20':21810
- '94.##9.149.151':21810
- '95.##.228.94':21810
- '18#.#77.189.232':21810
- '79.##6.59.99':21810
- '49.##8.198.37':21810
- '41.##8.174.117':21810
- '18#.#0.74.32':21810
- '11#.#99.3.116':21810
- '17#.#21.179.124':21810
- '78.#5.22.34':21810
- '75.##2.240.48':21810
- '89.##.254.197':21810
- '2.##4.78.99':21810
- '93.##7.133.212':21810
- '19#.#93.120.7':21810
- '86.##7.240.220':21810
- '18#.#65.155.215':21810
- '94.##6.58.70':21810
- '18#.#3.245.50':21810
- '41.##.167.144':21810
- '18#.#5.212.226':21810
- '19#.#05.154.210':80
- '18#.#73.58.147':21810
- '12.##6.177.109':21810
- '81.##.167.125':21810
- '82.##1.134.178':21810
- '46.##7.179.200':21810
- '18#.#73.57.117':21810
- '21#.#.118.242':21810
- '95.##.41.233':21810
- '46.##.33.242':21810
- '46.##1.218.166':21810
- '18#.#04.76.222':21810
- '20#.#22.185.11':21810
- '66.#8.97.90':21810
- '19#.#4.224.74':21810
- '10#.#87.99.50':21810
- '18#.#2.219.10':21810
- '77.##3.18.75':21810
- '59.##.240.127':21810
- '18#.#2.236.148':21810
- '79.##3.168.93':21810
- '17#.#8.53.155':21810
- '11#.#94.192.96':21810
- '77.##9.6.123':21810
- '91.##5.132.236':21810
- '77.#0.62.10':21810
- '11#.#0.96.95':21810
- '24.##0.33.58':21810
- '11#.#93.21.248':21810
- '2.###.104.209':21810
- '17#.#4.229.214':21810
- '18#.#73.54.169':21810
- '62.##7.138.30':21810
- '21#.#31.159.12':21810
- '20#.#12.154.109':21810
- '93.##5.9.210':21810
- '18#.#34.237.158':21810
- '19#.#00.177.67':21810
- '14#.#12.132.165':21810
- '19#.#00.189.148':21810
TCP:
Запросы HTTP GET:
- 19#.#05.154.210/bad.php?w=#############################################
- 19#.#05.154.210/stat2.php?w=###########################################
- 19#.#05.154.210/stat2.php?w=##########################################
