Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'HomeGroup Web Backup Discovery Presentation' = '<SYSTEM32>\tvhntpsm.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Media Themes Tracking PNRP Spooler RPC] 'ImagePath' = '<SYSTEM32>\tvhntpsm.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Media Themes Tracking PNRP Spooler RPC] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Запускает на исполнение:
- '%WINDIR%\Temp\cohfjdsl3q81p4.exe' -r 22049 tcp
- '<LS_APPDATA>\kdaeagrjhcxo.exe' "<SYSTEM32>\tvhntpsm.exe"
- '<SYSTEM32>\kdaeagrjhcxo.exe' "<SYSTEM32>\tvhntpsm.exe"
- '%TEMP%\cohfjdsl3br7p4b5wmkfi.exe'
- '<SYSTEM32>\tvhntpsm.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\vtodlbwt\etc
- <LS_APPDATA>\kdaeagrjhcxo.exe
- %WINDIR%\Temp\cohfjdsl3q81p4.exe
- <LS_APPDATA>\vtodlbwt\tst
- <LS_APPDATA>\vtodlbwt\cfg
- <LS_APPDATA>\vtodlbwt\por
- <LS_APPDATA>\vtodlbwt\rng
- <LS_APPDATA>\vtodlbwt\run
- <SYSTEM32>\vtodlbwt\etc
- <SYSTEM32>\tvhntpsm.exe
- <SYSTEM32>\vtodlbwt\tst
- %TEMP%\cohfjdsl3br7p4b5wmkfi.exe
- <SYSTEM32>\vtodlbwt\run
- <SYSTEM32>\vtodlbwt\cfg
- <SYSTEM32>\kdaeagrjhcxo.exe
- <SYSTEM32>\vtodlbwt\rng
Присваивает атрибут 'скрытый' для следующих файлов:
- <LS_APPDATA>\kdaeagrjhcxo.exe
- <SYSTEM32>\kdaeagrjhcxo.exe
- <SYSTEM32>\tvhntpsm.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\cohfjdsl3q81p4.exe
- <DRIVERS>\etc\hosts
- %TEMP%\cohfjdsl3br7p4b5wmkfi.exe
Подменяет следующие файлы:
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'we####dayplain.net':80
- 'se###rown.net':80
- 'we####daystep.net':80
- 'se###lain.net':80
- 'we####dayblack.net':80
- 'dr###step.net':80
- 'we####daygrown.net':80
- 'se###lack.net':80
- 'be##lxc.com':80
- 'de###lxc.com':80
- 'ri###nstorm.net':80
- 'af###sllc.com':80
- 'fo###black.net':80
- 'se###tep.net':80
- 'fo###grown.net':80
- 'af###black.net':80
TCP:
Запросы HTTP GET:
- http://we####dayplain.net/index.php
- http://se###rown.net/index.php
- http://we####daystep.net/index.php
- http://se###lain.net/index.php
- http://we####dayblack.net/index.php
- http://dr###step.net/index.php
- http://we####daygrown.net/index.php
- http://se###lack.net/index.php
- http://be##lxc.com/index.php
- http://de###lxc.com/index.php
- http://ri###nstorm.net/index.php
- http://af###sllc.com/index.php
- http://fo###black.net/index.php
- http://se###tep.net/index.php
- http://fo###grown.net/index.php
- http://af###black.net/index.php
UDP:
- DNS ASK we####dayplain.net
- DNS ASK se###rown.net
- DNS ASK we####daystep.net
- DNS ASK se###lain.net
- DNS ASK we####daygrown.net
- DNS ASK dr###step.net
- DNS ASK na###tep.net
- DNS ASK se###lack.net
- DNS ASK we####dayblack.net
- DNS ASK be##lxc.com
- DNS ASK de###lxc.com
- DNS ASK ri###nstorm.net
- DNS ASK af###sllc.com
- DNS ASK fo###black.net
- DNS ASK se###tep.net
- DNS ASK fo###grown.net
- DNS ASK af###black.net
- '23#.#55.255.250':1900
