Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '<LS_APPDATA>\a72a1ac3\X'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\a72a1ac3] 'ImagePath' = '%WINDIR%\3273271975:1490412860.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\.mrxsmb] 'ImagePath' = '\?'
Вредоносные функции:
Создает и запускает на исполнение:
- <LS_APPDATA>\a72a1ac3\X
Запускает на исполнение:
- %WINDIR%\explorer.exe
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\3273271975:1490412860.exe
- %WINDIR%\$NtUninstallKB16918$\2804554435\L\acbrwqkz
- <LS_APPDATA>\a72a1ac3\@
- <LS_APPDATA>\a72a1ac3\X
Самоудаляется.
Сетевая активность:
Подключается к:
- '67.##4.134.202':21810
- '78.##.207.117':21810
- '94.##3.46.182':21810
- '11#.#18.89.203':21810
- '75.##.186.72':21810
- '77.##.25.136':21810
- '84.##.198.250':21810
- '80.##.114.65':21810
- '19#.#9.78.81':21810
- '41.##.150.136':21810
- '11#.#7.168.59':21810
- '11#.#5.1.125':21810
- '10#.#73.51.229':21810
- '20#.#6.181.246':21810
- '12#.#08.47.242':21810
- '11#.#99.156.228':21810
- '17#.#87.255.13':21810
- '60.##6.174.182':21810
- '18#.#14.26.60':21810
- '11#.#9.189.2':21810
- '18#.#60.59.118':21810
- '22#.#05.87.204':21810
- '46.##3.221.195':21810
- '11#.#40.150.200':21810
- '27.##7.172.137':21810
- '2.##.47.125':21810
- '84.##8.129.153':21810
- '94.##0.15.161':21810
- '67.##2.223.43':21810
- '78.##.151.101':21810
- '46.##7.234.35':21810
- '11#.#54.184.161':21810
- '85.##3.167.239':21810
- '15#.#5.191.79':21810
- '98.##.221.180':21810
- '93.#57.47.4':21810
- '14.#8.8.146':21810
- '89.##.10.151':21810
- '17#.#9.175.143':21810
- '92.##.220.224':21810
- '77.##2.105.152':21810
- '46.##0.80.82':21810
- '2.##.45.199':21810
- '10#.#20.33.40':21810
- '84.##8.44.229':21810
- '11#.#8.245.174':21810
- '18#.#68.7.129':21810
- '92.##4.24.172':21810
- '79.#.72.153':21810
- '79.##3.213.223':21810
- '49.##2.102.2':21810
- '46.##1.135.231':21810
- '98.##2.53.14':21810
- '93.##6.26.191':21810
- '49.#01.95.4':21810
- '95.##6.48.235':21810
- '17#.#29.187.86':21810
- '79.##5.149.181':21810
- '18#.#60.57.184':21810
- '68.##9.136.253':21810
- '41.##8.46.191':21810
- '11#.#04.65.119':21810
- '10#.#01.17.27':21810
- '95.##.246.10':21810
- '82.##.128.117':21810
- '11#.#3.208.40':21810
- '27.##5.203.79':21810
- '41.##1.57.225':21810
- '79.#65.47.3':21810
- '11#.#04.33.210':21810
- '95.##.195.179':21810
- '2.##.40.43':21810
- '18#.#73.112.2':21810
- '20#.#16.183.104':21810
- '89.##.121.200':21810
- '46.##1.204.35':21810
- '58.#.209.120':21810
- '79.##5.160.148':21810
- '10#.#48.73.69':21810
- '20#.#7.117.2':21810
- '59.#5.76.7':21810
- '75.##.110.33':21810
- '17#.#20.79.170':21810
- '78.##.125.79':21810
- '17#.#6.98.11':21810
- '19#.#06.2.240':21810
- '95.##.64.188':21810
- '18#.#60.27.46':21810
- '19#.#14.66.119':21810
- '11#.#5.254.153':21810
- '21#.#09.243.216':21810
- '11#.#04.1.219':21810
- '98.##.179.67':21810
- '93.##7.132.45':21810
- '10#.#3.58.226':21810
- '11#.#10.166.86':21810
- '79.##4.240.8':21810
- '46.#.152.51':21810
- '46.##0.106.202':21810
- '76.##.201.178':21810
- '81.##.250.226':21810
- '31.##8.83.62':21810
- '18#.#4.216.19':21810
- '18#.#86.199.5':21810
- '94.##1.75.161':21810
- '82.##2.57.95':21810
- '12#.#22.12.7':21810
- '12#.#38.87.14':21810
- '18#.#6.71.129':21810
- '95.##9.17.162':21810
- '98.##4.71.120':21810
- '46.##7.175.243':21810
- '22#.#66.223.130':21810
- '18#.#87.49.118':21810
- '22#.#80.60.241':21810
- '12#.#01.57.178':21810
- '21#.#06.33.65':21810
- '18#.#77.125.236':21810
- '49.##8.214.170':21810
- '2.##.65.28':21810
- '11#.#95.185.130':21810
- '19#.#05.154.210':80
- '18#.#86.64.130':21810
- '67.##3.19.211':21810
- '46.##4.193.2':21810
- '91.#47.4.86':21810
- '17#.#06.211.131':21810
- '11#.#42.231.88':21810
- '89.##9.23.235':21810
- '17#.#07.46.21':21810
- '93.##7.153.119':21810
- '95.##.138.169':21810
- '17#.#26.247.220':21810
- '82.#.56.59':21810
- '92.##6.14.40':21810
- '11#.#07.216.206':21810
- '94.##1.226.74':21810
- '20#.#42.178.200':21810
- '58.##6.113.130':21810
- '27.##6.86.184':21810
- '68.##.132.193':21810
- '95.##5.50.159':21810
- '11#.#41.11.172':21810
- '18#.#15.173.149':21810
- '46.##0.75.40':21810
- '46.##.53.184':21810
- '11#.#1.77.45':21810
- '11#.#9.40.207':21810
- '94.##7.203.245':21810
- '14.##.84.112':21810
- '17#.#96.102.251':21810
- '17#.#79.144.21':21810
- '69.##.128.116':21810
- '31.##1.116.146':21810
- '46.##4.243.12':21810
- '77.##9.6.123':21810
- '46.##1.39.209':21810
- '20#.#67.50.140':21810
- '11#.#5.238.238':21810
- '13#.#69.175.74':21810
- '10#.#10.36.133':21810
- '21#.#1.30.142':21810
- '11#.#99.72.57':21810
- '12#.#48.17.168':21810
- '80.##1.76.65':21810
- '15#.#1.116.184':21810
- '19#.#05.135.219':21810
- '21#.#39.119.118':21810
- '79.##7.212.59':21810
- '50.#.53.152':21810
- '2.##.23.22':21810
- '11#.#87.50.239':21810
- '14.##.167.94':21810
- '76.##5.69.169':21810
- '77.##.224.116':21810
- '17#.#87.226.116':21810
- '46.##.155.20':21810
- '85.##6.196.187':21810
- '92.##.212.163':21810
- '58.#.156.174':21810
- '10#.#11.190.162':21810
TCP:
Запросы HTTP GET:
- 19#.#05.154.210/stat2.php?w=##########################################
- 19#.#05.154.210/stat2.php?w=###########################################
