Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Resolution Microsoft Update' = '<SYSTEM32>\rvpepvuzn.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Information Key Microsoft Acquisition Plug] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\ebhfngkuryv.exe' "<SYSTEM32>\rvpepvuzn.exe"
- '%WINDIR%\Temp\gotlkx4bpgzft.exe' -r 27571 tcp
- '%TEMP%\gotlkx48ejzftjm3uvdox.exe'
- '<SYSTEM32>\rvpepvuzn.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\onrhjrkqlprtuf\run
- <SYSTEM32>\onrhjrkqlprtuf\rng
- <SYSTEM32>\onrhjrkqlprtuf\cfg
- <SYSTEM32>\onrhjrkqlprtuf\por
- %WINDIR%\Temp\gotlkx4bpgzft.exe
- %TEMP%\gotlkx48ejzftjm3uvdox.exe
- <SYSTEM32>\onrhjrkqlprtuf\tst
- <SYSTEM32>\onrhjrkqlprtuf\etc
- <SYSTEM32>\ebhfngkuryv.exe
- <SYSTEM32>\rvpepvuzn.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\ebhfngkuryv.exe
- <SYSTEM32>\rvpepvuzn.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\gotlkx4bpgzft.exe
- %TEMP%\gotlkx48ejzftjm3uvdox.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'fa###reak.net':80
- 'to###reak.net':80
- 'we###lept.net':80
- 'we###ers.net':80
- 've###lept.net':80
- 'to###ers.net':80
- 'fa###lept.net':80
- 'fa###ers.net':80
- 'fa###rove.net':80
- 'to###rove.net':80
- 've###ers.net':80
- 'pi###hers.net':80
- 'mu###lept.net':80
- 'mu###ers.net':80
- 'mu###rove.net':80
- 'pi###prove.net':80
- 've###rove.net':80
- 'we###rove.net':80
- 'we###reak.net':80
- 'pi###slept.net':80
- 've###reak.net':80
- 'to###lept.net':80
- 'la###onea.com':80
- 'da###ekilai.com':80
- 'pl###hers.net':80
- 'pl###prove.net':80
- 'fi###ers.net':80
- 'fr###secas.com':80
- 'ka####ndertu.com':80
- 'ju###ray.net':80
- 'ta###fruit.net':80
- 'st###march.net':80
- 'fi###rove.net':80
- 'se###prove.net':80
- 'le###hers.net':80
- 'le###prove.net':80
- 'le###break.net':80
- 'se###break.net':80
- 'fi###reak.net':80
- 'pl###break.net':80
- 'se###slept.net':80
- 'se###hers.net':80
- 'le###slept.net':80
TCP:
Запросы HTTP GET:
- fa###reak.net/forum/search.php?me#########################################
- to###reak.net/forum/search.php?me#########################################
- we###lept.net/forum/search.php?me#########################################
- we###ers.net/forum/search.php?me#########################################
- ve###lept.net/forum/search.php?me#########################################
- to###ers.net/forum/search.php?me#########################################
- fa###lept.net/forum/search.php?me#########################################
- fa###ers.net/forum/search.php?me#########################################
- fa###rove.net/forum/search.php?me#########################################
- to###rove.net/forum/search.php?me#########################################
- ve###ers.net/forum/search.php?me#########################################
- pi###hers.net/forum/search.php?me#########################################
- mu###lept.net/forum/search.php?me#########################################
- mu###ers.net/forum/search.php?me#########################################
- mu###rove.net/forum/search.php?me#########################################
- pi###prove.net/forum/search.php?me#########################################
- ve###rove.net/forum/search.php?me#########################################
- we###rove.net/forum/search.php?me#########################################
- we###reak.net/forum/search.php?me#########################################
- pi###slept.net/forum/search.php?me#########################################
- ve###reak.net/forum/search.php?me#########################################
- to###lept.net/forum/search.php?me#########################################
- la###onea.com/forum/search.php?me#########################################
- da###ekilai.com/forum/search.php?me#########################################
- pl###hers.net/forum/search.php?me#########################################
- pl###prove.net/forum/search.php?me#########################################
- fi###ers.net/forum/search.php?me#########################################
- fr###secas.com/forum/search.php?me#########################################
- ka####ndertu.com/forum/search.php?me#########################################
- ju###ray.net/forum/search.php?me#########################################
- ta###fruit.net/forum/search.php?me#########################################
- st###march.net/forum/search.php?me#########################################
- fi###rove.net/forum/search.php?me#########################################
- se###prove.net/forum/search.php?me#########################################
- le###hers.net/forum/search.php?me#########################################
- le###prove.net/forum/search.php?me#########################################
- le###break.net/forum/search.php?me#########################################
- se###break.net/forum/search.php?me#########################################
- fi###reak.net/forum/search.php?me#########################################
- pl###break.net/forum/search.php?me#########################################
- se###slept.net/forum/search.php?me#########################################
- se###hers.net/forum/search.php?me#########################################
- le###slept.net/forum/search.php?me#########################################
UDP:
- DNS ASK we###lept.net
- DNS ASK fa###reak.net
- DNS ASK ve###lept.net
- DNS ASK ve###ers.net
- DNS ASK we###ers.net
- DNS ASK to###reak.net
- DNS ASK to###ers.net
- DNS ASK fa###lept.net
- DNS ASK fa###ers.net
- DNS ASK fa###rove.net
- DNS ASK to###rove.net
- DNS ASK mu###ers.net
- DNS ASK pi###hers.net
- DNS ASK pi###prove.net
- DNS ASK pi###break.net
- DNS ASK mu###rove.net
- DNS ASK mu###lept.net
- DNS ASK ve###rove.net
- DNS ASK we###rove.net
- DNS ASK we###reak.net
- DNS ASK pi###slept.net
- DNS ASK ve###reak.net
- DNS ASK to###lept.net
- DNS ASK la###onea.com
- DNS ASK da###ekilai.com
- DNS ASK pl###hers.net
- DNS ASK pl###prove.net
- DNS ASK fi###ers.net
- DNS ASK fr###secas.com
- DNS ASK ka####ndertu.com
- DNS ASK ju###ray.net
- DNS ASK ta###fruit.net
- DNS ASK st###march.net
- DNS ASK fi###rove.net
- DNS ASK se###prove.net
- DNS ASK le###hers.net
- DNS ASK le###prove.net
- DNS ASK le###break.net
- DNS ASK se###break.net
- DNS ASK fi###reak.net
- DNS ASK pl###break.net
- DNS ASK se###slept.net
- DNS ASK se###hers.net
- DNS ASK le###slept.net
- '23#.#55.255.250':1900
