BackDoor.Andromeda.1176

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d9' = '%APPDATA%\1e6f17d9.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '1e6f17d' = 'C:\1e6f17d9\1e6f17d9.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\1e6f17d9.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Запускает на исполнение:

'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'<SYSTEM32>\svchost.exe' netsvcs
'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\1e6f17d9.exe
C:\1e6f17d9\1e6f17d9.exe

Сетевая активность:

Подключается к:

'ma######guehomerepair.com':80
'co#####onakeychain.com':80
'br###fross.com':80
'os##tec.com':80
'fe###alnirs.com':80
'mo##red.pl':80
'co######yneuroclinic.com':80
'is####hcebakim.com':80
'kw#####proci.mazury.pl':80
'co#####zauruguay.com':80
'co#######deramaquillarse.com':80
'ei###hai.net':80
'fo###cegypt.com':80
'co#####-into-cash.com':80
'cu###yip.com':80
'ip##ddr.es':80
'my####rnalip.com':80
'ge##th.com':80
'ca####midwifery.com':80
'gr###lysts.com':80
'gr###oup.co.il':80
'co####zzabrasil.com':80
'gs###kansas.com':80

TCP:

Запросы HTTP GET:

http://cu###yip.com/
http://my####rnalip.com/raw
http://ip##ddr.es/

Запросы HTTP POST:

http://co#####onakeychain.com/wp-content/plugins/wp-smushit/ccc.php?f=##############
http://mo##red.pl/wp-content/uploads/rrrrr.php?j=##############
http://ma######guehomerepair.com/wp-content/uploads/rrrr.php?a=##############
http://fe###alnirs.com/wp-content/plugins/revslider/temp/c.php?g=##############
http://br###fross.com/wp-content/themes/twentyeleven/ccccc.php?i=##############
http://co######yneuroclinic.com/wp-content/themes/twentytwelve/cccc.php?o=##############
http://is####hcebakim.com/wp-content/uploads/rrrr.php?v=##############
http://kw#####proci.mazury.pl/images/ccccc.php?f=##############
http://co#####zauruguay.com/wp-content/wp-content/themes/twentythirteen/cccc.php?x=##############
http://co#######deramaquillarse.com/wp-content/themes/twentyten/c.php?f=##############
http://co####zzabrasil.com/wp-content/plugins/revision-control/ccc.php?j=##############
http://gs###kansas.com/wp-content/plugins/wp-antibot-standart/rrrr.php?h=##############
http://ge##th.com/ckfinder/cc.php?w=##############
http://fo###cegypt.com/blog/wp-content/themes/twentyfourteen/rrr.php?x=##############
http://co#####-into-cash.com/wp-content/plugins/pretty-link/cc.php?s=##############
http://ei###hai.net/wp-content/themes/twentytwelve/rr.php?e=##############
http://os##tec.com/board/cccc.php?b=##############
http://gr###lysts.com/wp-content/uploads/rrr.php?m=##############
http://gr###oup.co.il/wp-content/plugins/revslider/temp/cccc.php?h=##############
http://ca####midwifery.com/wp-content/plugins/ultimate-branding/c.php?r=##############