Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '<LS_APPDATA>\a72a1ac3\X'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\a72a1ac3] 'ImagePath' = '%WINDIR%\3273271975:1490412860.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\.ipsec] 'ImagePath' = '\?'
Вредоносные функции:
Создает и запускает на исполнение:
- <LS_APPDATA>\a72a1ac3\X
Запускает на исполнение:
- %WINDIR%\explorer.exe
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\$NtUninstallKB16918$\2804554435\L\acbrwqkz
- %WINDIR%\$NtUninstallKB16918$\2804554435\@
- %WINDIR%\3273271975:1490412860.exe
- <LS_APPDATA>\a72a1ac3\@
- <LS_APPDATA>\a72a1ac3\X
Самоудаляется.
Сетевая активность:
Подключается к:
- '20#.#29.25.92':21810
- '49.##0.113.250':21810
- '11#.#24.232.101':21810
- '94.##.185.196':21810
- '18#.#.154.158':21810
- '82.##9.96.187':21810
- '79.##4.145.170':21810
- '87.##1.85.58':21810
- '18#.#58.193.61':21810
- '21#.#0.62.21':21810
- '11#.#50.113.139':21810
- '46.##8.69.145':21810
- '91.##1.203.54':21810
- '19#.#47.114.165':21810
- '17#.#43.169.249':21810
- '94.##7.63.38':21810
- '46.##0.120.219':21810
- '18#.#55.78.128':21810
- '77.##1.63.253':21810
- '19#.#06.24.3':21810
- '11#.197.4.2':21810
- '19#.#99.134.201':21810
- '68.##.205.134':21810
- '21#.#7.126.83':21810
- '18#.#3.163.178':21810
- '81.##.13.165':21810
- '85.##5.26.58':21810
- '19#.#86.20.60':21810
- '18#.#8.12.177':21810
- '18#.#0.186.237':21810
- '12#.#01.216.104':21810
- '11#.#93.203.0':21810
- '89.##.252.15':21810
- '21#.#09.10.158':21810
- '11#.#98.213.32':21810
- '2.##.126.252':21810
- '92.##7.215.180':21810
- '89.##.238.18':21810
- '18#.#53.224.75':21810
- '72.##1.116.208':21810
- '46.##6.123.192':21810
- '79.##2.11.148':21810
- '58.##6.27.182':21810
- '11#.#01.106.30':21810
- '20#.#29.28.148':21810
- '89.##.96.136':21810
- '10#.#27.70.55':21810
- '18#.#6.102.18':21810
- '10#.#5.203.44':21810
- '95.##.131.56':21810
- '20#.#2.105.110':21810
- '11#.#68.169.64':21810
- '18#.#75.141.63':21810
- '4.##4.38.21':21810
- '18#.#68.10.210':21810
- '15#.#.132.170':21810
- '18#.#8.12.241':21810
- '41.##3.28.207':21810
- '27.##.23.103':21810
- '46.#9.8.181':21810
- '18#.#72.183.170':21810
- '18#.#1.71.144':21810
- '27.##7.38.147':21810
- '10#.#01.237.237':21810
- '17#.#37.197.21':21810
- '11#.#00.23.255':21810
- '18#.#24.194.180':21810
- '11#.#8.96.51':21810
- '14#.#80.21.61':21810
- '18#.#56.30.61':21810
- '68.##.166.224':21810
- '87.#.248.115':21810
- '46.##.244.12':21810
- '66.##0.170.165':21810
- '46.##.35.215':21810
- '10.##2.124.140':21810
- '95.##.166.76':21810
- '59.##1.31.68':21810
- '10.##8.231.209':21810
- '88.##.232.15':21810
- '11#.#8.1.214':21810
- '17#.#5.12.77':21810
- '86.##0.18.172':21810
- '49.##6.249.141':21810
- '17#.#33.33.159':21810
- '11#.#42.55.51':21810
- '10#.#0.57.51':21810
- '89.##2.141.222':21810
- '68.##.203.87':21810
- '12.##.91.248':21810
- '19#.#94.49.194':21810
- '11#.#41.183.204':21810
- '14.##.152.120':21810
- '88.##5.234.88':21810
- '11#.#41.227.105':21810
- '59.##.178.165':21810
- '18#.#2.43.217':21810
- '17#.#27.146.33':21810
- '87.#7.91.44':21810
- '80.##.224.42':21810
- '19#.#61.71.179':21810
- '93.#4.0.52':21810
- '92.##2.199.238':21810
- '93.##.56.234':21810
- '17#.#22.24.205':21810
- '46.##.53.184':21810
- '77.##9.6.123':21810
- '89.##2.220.33':21810
- '21#.#19.10.180':21810
- '79.##3.27.36':21810
- '14.##.21.145':21810
- '20#.#6.30.226':21810
- '11#.#54.63.220':21810
- '19#.#55.191.253':21810
- '67.##3.110.120':21810
- '95.##.18.169':21810
- '90.##7.17.13':21810
- '94.#2.27.63':21810
- '17#.#8.77.59':21810
- '41.##.102.154':21810
- '18#.#2.144.177':21810
- '74.##.142.223':21810
- '88.##8.32.52':21810
- '95.##.22.250':21810
- '19#.#32.223.163':21810
- '20#.#7.117.31':21810
- '86.##6.70.188':21810
- '89.#1.8.197':21810
- '50.##.116.81':21810
- '21#.#7.135.18':21810
- '46.#1.81.54':21810
- '11#.#87.58.222':21810
- '94.##3.144.156':21810
- '20#.#92.241.229':21810
- '98.##4.128.193':21810
- '19#.#05.154.210':80
- '2.##.173.96':21810
- '83.##3.21.236':21810
- '93.##5.224.32':21810
- '1.##.162.52':21810
- '18#.#03.100.7':21810
- '12#.#8.180.15':21810
- '94.##.170.189':21810
- '12#.#20.235.17':21810
- '94.##.163.149':21810
- '11#.#8.38.28':21810
- '18#.#86.220.103':21810
- '78.##0.30.177':21810
- '20#.#4.208.224':21810
- '94.##3.252.85':21810
- '21#.#73.59.159':21810
- '49.#5.29.90':21810
- '46.##.129.59':21810
- '49.##1.57.12':21810
- '15#.#0.105.156':21810
- '18#.#3.50.193':21810
- '31.##.104.91':21810
- '11#.#84.148.198':21810
- '74.##7.150.190':21810
- '31.##5.23.105':21810
- '92.##9.223.55':21810
- '11#.#54.128.138':21810
- '79.##2.188.60':21810
- '46.##.10.136':21810
- '19#.#2.81.146':21810
- '10#.#0.216.100':21810
- '11#.#87.41.108':21810
- '78.#.233.8':21810
- '19#.#05.135.219':21810
- '12#.#83.220.85':21810
- '92.##.16.117':21810
- '95.#3.95.52':21810
- '79.##2.140.19':21810
- '12#.#36.216.65':21810
- '95.##.146.72':21810
- '19#.#44.229.38':21810
- '92.##.215.109':21810
- '19#.#95.139.225':21810
- '18#.#4.65.212':21810
- '98.##9.5.177':21810
- '11#.#40.228.242':21810
- '59.##4.173.82':21810
- '85.##1.51.22':21810
- '10#.#51.28.43':21810
- '86.##4.214.69':21810
- '17#.#7.9.143':21810
- '20#.#22.90.190':21810
- '10#.#10.208.120':21810
- '10#.#3.104.188':21810
- '78.##6.70.143':21810
- '11#.#97.1.28':21810
- '41.##4.200.210':21810
- '86.##5.220.84':21810
- '79.##3.92.94':21810
- '11#.#35.195.157':21810
- '20#.179.2.2':21810
- '18#.#90.89.31':21810
- '79.##1.237.29':21810
- '31.##6.228.189':21810
- '75.##0.28.39':21810
- '12#.#18.102.231':21810
- '11#.#16.76.31':21810
- '19#.#73.227.9':21810
TCP:
Запросы HTTP GET:
- 19#.#05.154.210/stat2.php?w=##########################################
- 19#.#05.154.210/stat2.php?w=###########################################
