Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'd5ed22ab' = '%APPDATA%\d5ed22ab.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'd5ed22a' = 'C:\d5ed22ab\d5ed22ab.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\d5ed22ab.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение:
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\d5ed22ab.exe
- C:\d5ed22ab\d5ed22ab.exe
Сетевая активность:
Подключается к:
- 'fr####lyclinic.com':80
- 'gr###evap.com':80
- 'ft#####rityservices.com':80
- 'fo####rsomaha.net':80
- 'en####aerengwa.com':80
- 'fi##in.com':80
- 'fi####chmifty.com':80
- 'h3###otion.com':80
- 'cu###yip.com':80
- 'es###spro.com':80
- 'ip##ddr.es':80
- 'my####rnalip.com':80
- 'ge###auty.net':80
- 'gg##.com.ng':80
- 'el#####tnessproduct.com':80
- 'fo#####solutions.co.in':80
TCP:
Запросы HTTP GET:
- http://cu###yip.com/
- http://my####rnalip.com/raw
- http://ip##ddr.es/
Запросы HTTP POST:
- http://fi####chmifty.com/ap1.php?e=##############
- http://gr###evap.com/mtqzpa/templates/ap5.php?x=##############
- http://fr####lyclinic.com/gallery/small/ap1.php?v=##############
- http://fi##in.com/wp-admin/maint/ap4.php?x=##############
- http://en####aerengwa.com/user/most-instagram-followers-non-celebrity/ap3.php?v=##############
- http://h3###otion.com/ap4.php?u=##############
- http://fo####rsomaha.net/wp-includes/Text/Diff/Renderer/ap3.php?w=##############
- http://fo#####solutions.co.in/wp-content/plugins/tinymce-advanced/css/ap5.php?p=##############
- http://el#####tnessproduct.com/wp-admin/js/ap3.php?t=##############
- http://es###spro.com/css/fonts/ap4.php?m=##############
- http://ft#####rityservices.com/wp-admin/images/ap2.php?h=##############
- http://gg##.com.ng/js/vendor/ap5.php?l=##############
- http://ge###auty.net/wp-includes/certificates/ap2.php?p=##############
UDP:
- DNS ASK fr####lyclinic.com
- DNS ASK gr###evap.com
- DNS ASK ft#####rityservices.com
- DNS ASK fo####rsomaha.net
- DNS ASK en####aerengwa.com
- DNS ASK fi##in.com
- DNS ASK fi####chmifty.com
- DNS ASK h3###otion.com
- DNS ASK cu###yip.com
- DNS ASK es###spro.com
- DNS ASK ip##ddr.es
- DNS ASK my####rnalip.com
- DNS ASK ge###auty.net
- DNS ASK gg##.com.ng
- DNS ASK el#####tnessproduct.com
- DNS ASK fo#####solutions.co.in
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
