Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '<LS_APPDATA>\a72a1ac3\X'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\a72a1ac3] 'ImagePath' = '%WINDIR%\3273271975:1490412860.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\.mrxsmb] 'ImagePath' = '\?'
Вредоносные функции:
Создает и запускает на исполнение:
- <LS_APPDATA>\a72a1ac3\X
Запускает на исполнение:
- %WINDIR%\explorer.exe
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\3273271975:1490412860.exe
- %WINDIR%\$NtUninstallKB16918$\2804554435\L\acbrwqkz
- <LS_APPDATA>\a72a1ac3\@
- <LS_APPDATA>\a72a1ac3\X
Самоудаляется.
Сетевая активность:
Подключается к:
- '17#.#6.3.102':21810
- '18#.#22.147.196':21810
- '21#.#12.108.105':21810
- '92.##4.67.23':21810
- '80.##.133.96':21810
- '69.#7.76.98':21810
- '46.##5.44.24':21810
- '85.##.150.173':21810
- '89.##8.115.170':21810
- '10#.#05.12.157':21810
- '18#.#6.166.108':21810
- '19#.#63.255.182':21810
- '72.##7.200.176':21810
- '18#.#41.232.14':21810
- '98.##.195.16':21810
- '92.##.152.201':21810
- '11#.#2.132.236':21810
- '18#.#.207.57':21810
- '82.##.180.234':21810
- '72.##1.75.57':21810
- '72.##3.124.19':21810
- '11#.#97.124.89':21810
- '75.##5.89.20':21810
- '18#.#9.34.211':21810
- '89.##.238.18':21810
- '14.##4.66.87':21810
- '18#.#2.230.46':21810
- '92.#7.24.44':21810
- '19#.#90.39.243':21810
- '18#.#7.93.46':21810
- '46.##8.30.128':21810
- '12#.#23.174.255':21810
- '79.##5.99.132':21810
- '81.##.109.255':21810
- '18#.#.106.237':21810
- '18#.#4.63.75':21810
- '18#.#7.219.241':21810
- '83.#.8.8':21810
- '93.##3.43.140':21810
- '11#.#40.109.48':21810
- '86.##6.22.124':21810
- '14#.#30.73.38':21810
- '11#.#00.15.38':21810
- '18#.#23.36.49':21810
- '93.##8.228.123':21810
- '18#.#3.36.124':21810
- '86.##5.243.125':21810
- '24.##4.116.43':21810
- '12#.#38.224.63':21810
- '76.##.142.150':21810
- '18#.#6.28.127':21810
- '31.##0.143.148':21810
- '89.##.124.239':21810
- '18#.#45.2.49':21810
- '81.##.23.123':21810
- '89.##8.23.119':21810
- '87.##.46.234':21810
- '11#.#00.218.237':21810
- '79.##6.232.123':21810
- '11#.#9.19.119':21810
- '86.##2.244.51':21810
- '67.##1.246.89':21810
- '84.##.133.53':21810
- '18#.#0.3.240':21810
- '17#.#56.136.90':21810
- '17#.#59.173.246':21810
- '42.##1.138.41':21810
- '18#.#48.41.143':21810
- '95.##4.86.136':21810
- '63.##8.171.155':21810
- '86.##1.156.152':21810
- '11#.#9.63.144':21810
- '85.##.149.230':21810
- '18#.#4.73.127':21810
- '18#.#3.177.11':21810
- '19#.#13.48.50':21810
- '12#.#53.6.130':21810
- '89.##.106.45':21810
- '18#.#86.232.128':21810
- '11#.#54.25.63':21810
- '18#.#2.210.45':21810
- '95.#9.69.61':21810
- '19#.#31.81.64':21810
- '14.##.193.63':21810
- '20#.#35.148.63':21810
- '76.##.72.252':21810
- '20#.#89.145.7':21810
- '11#.74.7.8':21810
- '83.##5.17.74':21810
- '76.##6.152.60':21810
- '86.#5.93.5':21810
- '14.#7.18.7':21810
- '88.##2.186.85':21810
- '67.#67.30.4':21810
- '94.##.138.56':21810
- '95.##.171.249':21810
- '84.##1.128.87':21810
- '10#.#28.130.5':21810
- '98.##1.148.84':21810
- '94.##7.100.60':21810
- '84.##.233.71':21810
- '18#.#6.238.68':21810
- '41.#6.65.75':21810
- '11#.79.63.2':21810
- '19#.#7.160.59':21810
- '79.##3.65.142':21810
- '95.##.242.114':21810
- '12#.#73.38.173':21810
- '22#.#05.83.217':21810
- '90.##0.182.179':21810
- '14.#9.27.18':21810
- '24.##.111.32':21810
- '14#.#07.169.35':21810
- '14#.#3.197.165':21810
- '18#.#54.128.184':21810
- '31.##.119.14':21810
- '19#.#06.7.118':21810
- '24.##.149.169':21810
- '69.##2.80.249':21810
- '21#.#35.164.20':21810
- '24.##1.211.51':21810
- '79.##6.63.198':21810
- '79.##4.49.52':21810
- '18#.#21.99.249':21810
- '21#.93.3.92':21810
- '18#.#7.170.197':21810
- '1.##.170.109':21810
- '19#.#3.91.109':21810
- '18#.#12.192.181':21810
- '31.##1.71.202':21810
- '76.##7.59.193':21810
- '89.##2.36.131':21810
- '89.##.136.224':21810
- '79.##6.100.253':21810
- '70.##2.126.199':21810
- '11#.#18.209.41':21810
- '77.##.112.67':21810
- '71.##.107.190':21810
- '10#.#22.73.43':21810
- '31.##.93.137':21810
- '18#.#4.67.128':21810
- '19#.#05.154.210':80
- '41.##2.226.10':21810
- '11#.#03.147.12':21810
- '79.##4.241.146':21810
- '85.##.37.125':21810
- '2.###.106.60':21810
- '41.##7.131.72':21810
- '77.##.220.155':21810
- '18#.#15.93.230':21810
- '89.##3.182.43':21810
- '95.##0.68.126':21810
- '75.##8.157.73':21810
- '79.##2.229.230':21810
- '11#.#0.63.153':21810
- '18#.#11.60.8':21810
- '11#.#94.11.75':21810
- '79.##.118.139':21810
- '46.##2.77.103':21810
- '82.##9.123.37':21810
- '89.##5.241.35':21810
- '18#.#80.106.226':21810
- '12#.#8.124.248':21810
- '19#.#5.232.50':21810
- '74.##3.189.37':21810
- '17#.#23.242.165':21810
- '11#.#84.82.223':21810
- '94.##3.51.219':21810
- '12#.#97.208.218':21810
- '11#.#54.55.166':21810
- '94.##9.205.34':21810
- '18#.#6.208.167':21810
- '17#.#37.136.146':21810
- '46.##2.220.146':21810
- '79.##6.210.232':21810
- '18#.#54.115.75':21810
- '13#.#04.192.38':21810
- '21#.#29.105.146':21810
- '94.##3.230.46':21810
- '17#.#7.242.153':21810
- '19#.#04.229.11':21810
- '20#.#04.187.49':21810
- '18#.#2.47.231':21810
- '17#.#1.35.124':21810
- '85.##.22.153':21810
- '19#.#8.58.204':21810
- '18#.#8.252.184':21810
- '20#.#.159.188':21810
- '68.#3.72.56':21810
- '58.##6.27.182':21810
- '89.##5.222.204':21810
- '59.##1.17.190':21810
- '10.##9.111.25':21810
- '84.##.248.18':21810
- '49.##.126.108':21810
- '18#.#56.82.26':21810
- '12#.#38.86.72':21810
- '84.##0.213.55':21810
- '12#.#23.143.79':21810
- '20#.#4.177.34':21810
- '11#.#55.136.174':21810
- '11#.#68.3.173':21810
- '12#.#35.47.76':21810
- '11#.#1.126.173':21810
- '41.##4.207.84':21810
- '85.##4.45.180':21810
- '59.##3.206.180':21810
- '92.##1.157.28':21810
- '59.##3.222.209':21810
- '11#.#93.140.208':21810
- '92.##4.19.180':21810
TCP:
Запросы HTTP GET:
- 19#.#05.154.210/stat2.php?w=##########################################
- 19#.#05.154.210/stat2.php?w=###########################################
