Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = 'explorer.exe,%APPDATA%\skype.dat'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\exjlbwipnadwwipqcejljvrixfzjynwpptnndmmxwkuaxs-cgosnofcjzysaucbrzxo-acvkoaxqpyppqn-nnbh-[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\ksbafvsuducalaju-rqnbcb-uozv-ofce-junf-jutsdhvahjxtmyjzelpr-arpzpyshcdifjgqjarjgpq-htda-fcrk-[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\exjlbwipnadwwi-pqcejljvrixfzj-ynwp-ptnn-dmmx-wkuaxscgos-nofc-jzys-aucbrzxoacvk-oaxqpyppqnnnbh[1].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\uk-wgrg-lzli-pbux-mpbtznnafvgtexqk-cbnlhtykvkxxkdxypp-dhvy-oxrqtyalxtnqteoupfvrpriozo-xxox-ne[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\fcgtdhxsdknqzajplmduygvy-itjz-gjlmnhpvra-vqdm-eyvi-ushjpljxbaldyswbxpip-xlyvqs-xocj-ynli-jukk-[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\opvkdgksbafvsuduksauxs-tmejhtrdpfms-fvbidwlarqfyznfrkfvntujlvk-fqns-mpjxwkdniiysbw-raeb-fv[1].php
- %APPDATA%\skype.dat
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\diiiyeohif-ejda-plnqos-tsll-kbexft-wfjkiippjgxvdwshnmqpixqzpzdfrnorzrrabhmpsthtjp-twxv-auel-[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\phac-uyqckfougjyvrqjwftpvusfytw-tmblou-yvduykrtbw-zakf-ifra-gjusopclfmtm-lljv-tuxyxf-amyepbex[1].html
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\lipbuxmp-fmgn-ltblkgpriqkfcawitydf-uurovqpirtvp-ltdr-dkea-owpl-qzhcmpqjtsrnva-ignn-rosidavnnw[1].php
Сетевая активность:
Подключается к:
- 'xa###z.xxuz.com':80
- 'un######ivemaneuvering.pw':80
- 'po#####ikedelorean.us':80
TCP:
Запросы HTTP GET:
- po#####ikedelorean.us/o/exjlbwipnadwwi-pqcejljvrixfzj-ynwp-ptnn-dmmx-wkuaxscgos-nofc-jzys-aucbrzxoacvk-oaxqpyppqnnnbh.php
- xa###z.xxuz.com/post/exjlbwipnadwwipqcejljvrixfzjynwpptnndmmxwkuaxs-cgosnofcjzysaucbrzxo-acvkoaxqpyppqn-nnbh-.html
- xa###z.xxuz.com/questions/uk-wgrg-lzli-pbux-mpbtznnafvgtexqk-cbnlhtykvkxxkdxypp-dhvy-oxrqtyalxtnqteoupfvrpriozo-xxox-ne.html
- un######ivemaneuvering.pw/questions/fcgtdhxsdknqzajplmduygvy-itjz-gjlmnhpvra-vqdm-eyvi-ushjpljxbaldyswbxpip-xlyvqs-xocj-ynli-jukk-.html
- un######ivemaneuvering.pw/o/ksbafvsuducalaju-rqnbcb-uozv-ofce-junf-jutsdhvahjxtmyjzelpr-arpzpyshcdifjgqjarjgpq-htda-fcrk-.php
- un######ivemaneuvering.pw/questions/diiiyeohif-ejda-plnqos-tsll-kbexft-wfjkiippjgxvdwshnmqpixqzpzdfrnorzrrabhmpsthtjp-twxv-auel-.html
- po#####ikedelorean.us/o/opvkdgksbafvsuduksauxs-tmejhtrdpfms-fvbidwlarqfyznfrkfvntujlvk-fqns-mpjxwkdniiysbw-raeb-fv.php
- po#####ikedelorean.us/questions/phac-uyqckfougjyvrqjwftpvusfytw-tmblou-yvduykrtbw-zakf-ifra-gjusopclfmtm-lljv-tuxyxf-amyepbex.html
- xa###z.xxuz.com/o/lipbuxmp-fmgn-ltblkgpriqkfcawitydf-uurovqpirtvp-ltdr-dkea-owpl-qzhcmpqjtsrnva-ignn-rosidavnnw.php
UDP:
- DNS ASK xa###z.xxuz.com
- DNS ASK un######ivemaneuvering.pw
- DNS ASK po#####ikedelorean.us
