Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Peer Encrypting Connections Offline' = 'C:\mynjlja\we6j2vtaozg.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Logon Quality Isolation Office Background KtmRm] 'ImagePath' = 'C:\mynjlja\we6j2vtaozg.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Logon Quality Isolation Office Background KtmRm] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\mynjlja\flpzvofmqnx.exe' "c:\mynjlja\we6j2vtaozg.exe"
- 'C:\mynjlja\we6j2vtaozg.exe'
- 'C:\mynjlja\lh9pia3kxxlzilasipku.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\mynjlja\we6j2vtaozg.exe
- C:\mynjlja\flpzvofmqnx.exe
- C:\mynjlja\zec4hcuy
- %WINDIR%\mynjlja\rqzgvtzc
- C:\mynjlja\rqzgvtzc
- C:\mynjlja\lh9pia3kxxlzilasipku.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\mynjlja\flpzvofmqnx.exe
- C:\mynjlja\we6j2vtaozg.exe
Удаляет следующие файлы:
- C:\mynjlja\lh9pia3kxxlzilasipku.exe
- %WINDIR%\mynjlja\rqzgvtzc
Подменяет следующие файлы:
- %WINDIR%\mynjlja\rqzgvtzc
Сетевая активность:
Подключается к:
- 'co#####neanabella.net':80
- 'ka#####neferdinand.net':80
- 'co#####neferdinand.net':80
- 'ka#####neanabella.net':80
- 'sh#####nesharlene.net':80
- 'ka#####nejosephina.net':80
- 'co#####nejosephina.net':80
- 'ro#####ltanabella.net':80
- 'ra#####feanabella.net':80
- 'ro#####ltferdinand.net':80
- 'ra#####fejosephina.net':80
- 'ka#####nesharlene.net':80
- 'co#####nesharlene.net':80
- 'ro#####ltjosephina.net':80
- 'ma#####neferdinand.net':80
- 'co#####ussharlene.net':80
- 'ma#####nesharlene.net':80
- 'co#####usferdinand.net':80
- 'ma#####nejosephina.net':80
- 'co#####usanabella.net':80
- 'ma#####neanabella.net':80
- 'ch#####asferdinand.net':80
- 'sh#####neferdinand.net':80
- 'ch#####assharlene.net':80
- 'sh#####neanabella.net':80
- 'ch#####asjosephina.net':80
- 'sh#####nejosephina.net':80
- 'ch#####asanabella.net':80
TCP:
Запросы HTTP GET:
- http://co#####neanabella.net/index.php
- http://ka#####neferdinand.net/index.php
- http://co#####neferdinand.net/index.php
- http://ka#####neanabella.net/index.php
- http://sh#####nesharlene.net/index.php
- http://ka#####nejosephina.net/index.php
- http://co#####nejosephina.net/index.php
- http://ro#####ltanabella.net/index.php
- http://ra#####feanabella.net/index.php
- http://ro#####ltferdinand.net/index.php
- http://ra#####fejosephina.net/index.php
- http://ka#####nesharlene.net/index.php
- http://co#####nesharlene.net/index.php
- http://ro#####ltjosephina.net/index.php
- http://ma#####neferdinand.net/index.php
- http://co#####ussharlene.net/index.php
- http://ma#####nesharlene.net/index.php
- http://co#####usferdinand.net/index.php
- http://ma#####nejosephina.net/index.php
- http://co#####usanabella.net/index.php
- http://ma#####neanabella.net/index.php
- http://ch#####asferdinand.net/index.php
- http://sh#####neferdinand.net/index.php
- http://ch#####assharlene.net/index.php
- http://sh#####neanabella.net/index.php
- http://ch#####asjosephina.net/index.php
- http://sh#####nejosephina.net/index.php
- http://ch#####asanabella.net/index.php
UDP:
- DNS ASK ka#####neferdinand.net
- DNS ASK co#####neferdinand.net
- DNS ASK ka#####nesharlene.net
- DNS ASK co#####neanabella.net
- DNS ASK ka#####nejosephina.net
- DNS ASK co#####nejosephina.net
- DNS ASK ka#####neanabella.net
- DNS ASK ra#####feanabella.net
- DNS ASK ro#####ltferdinand.net
- DNS ASK ra#####feferdinand.net
- DNS ASK ro#####ltanabella.net
- DNS ASK co#####nesharlene.net
- DNS ASK ro#####ltjosephina.net
- DNS ASK ra#####fejosephina.net
- DNS ASK sh#####nesharlene.net
- DNS ASK ma#####neferdinand.net
- DNS ASK co#####ussharlene.net
- DNS ASK ma#####nesharlene.net
- DNS ASK co#####usferdinand.net
- DNS ASK ma#####nejosephina.net
- DNS ASK co#####usanabella.net
- DNS ASK ma#####neanabella.net
- DNS ASK ch#####asferdinand.net
- DNS ASK sh#####neferdinand.net
- DNS ASK ch#####assharlene.net
- DNS ASK sh#####neanabella.net
- DNS ASK ch#####asjosephina.net
- DNS ASK sh#####nejosephina.net
- DNS ASK ch#####asanabella.net
