BackDoor.Gbot.2516

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Cryptographic SSDP Controls TP Diagnostic' = '<SYSTEM32>\npqkeypls.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\npqkeypls.exe

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\File Name Encrypting Disk Routing] 'Start' = '00000002'

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Центр обеспечения безопасности (Security Center)

Создает и запускает на исполнение:

'<SYSTEM32>\hjwnnyj.exe' "<SYSTEM32>\npqkeypls.exe"
'%WINDIR%\Temp\uj5blu5fmjgqi.exe' -r 20842 tcp
'%TEMP%\uj5blu44vtgqvvxyafk2.exe'
'<SYSTEM32>\npqkeypls.exe'

Изменения в файловой системе:

Создает следующие файлы:

<SYSTEM32>\wtkqljmkgv\run
<SYSTEM32>\wtkqljmkgv\rng
<SYSTEM32>\wtkqljmkgv\cfg
<SYSTEM32>\wtkqljmkgv\por
%WINDIR%\Temp\uj5blu5fmjgqi.exe
%TEMP%\uj5blu44vtgqvvxyafk2.exe
<SYSTEM32>\wtkqljmkgv\tst
<SYSTEM32>\wtkqljmkgv\etc
<SYSTEM32>\hjwnnyj.exe
<SYSTEM32>\npqkeypls.exe

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\hjwnnyj.exe
<SYSTEM32>\npqkeypls.exe

Удаляет следующие файлы:

%WINDIR%\Temp\uj5blu5fmjgqi.exe
%TEMP%\uj5blu44vtgqvvxyafk2.exe
<DRIVERS>\etc\hosts

Подменяет файл HOSTS.

Сетевая активность:

Подключается к:

'th###uncle.net':80
'th###study.net':80
'th###loss.net':80
'lo###nce.net':80
'fe###oss.net':80
'lo###oss.net':80
'fe###nce.net':80
'wi###tudy.net':80
'dr###loss.net':80
'wi###oss.net':80
'dr###study.net':80
'th###once.net':80
'dr###uncle.net':80
'wi###ncle.net':80
'vi###mojo.com':80
'am###stol.com':80
'we#####reforyounow.com':80
'mo###uia.com':80
'do####club-grup.com':80
'el#####arimagine.com':80
'ja###uter.com':80
'lo###ncle.net':80
'fe###tudy.net':80
'lo###tudy.net':80
'fe###ncle.net':80
'wh###oss.net':80
'hi###nce.net':80
'wh###nce.net':80

TCP:

Запросы HTTP GET:

th###uncle.net/forum/search.php?me#########################################
th###study.net/forum/search.php?me#########################################
th###loss.net/forum/search.php?me#########################################
lo###nce.net/forum/search.php?me#########################################
fe###oss.net/forum/search.php?me#########################################
lo###oss.net/forum/search.php?me#########################################
fe###nce.net/forum/search.php?me#########################################
wi###tudy.net/forum/search.php?me#########################################
dr###loss.net/forum/search.php?me#########################################
wi###oss.net/forum/search.php?me#########################################
dr###study.net/forum/search.php?me#########################################
th###once.net/forum/search.php?me#########################################
dr###uncle.net/forum/search.php?me#########################################
wi###ncle.net/forum/search.php?me#########################################
vi###mojo.com/forum/search.php?me#########################################
am###stol.com/forum/search.php?me#########################################
we#####reforyounow.com/forum/search.php?me#########################################
mo###uia.com/forum/search.php?me#########################################
do####club-grup.com/forum/search.php?me#########################################
el#####arimagine.com/forum/search.php?me#########################################
ja###uter.com/forum/search.php?me#########################################
lo###ncle.net/forum/search.php?me#########################################
fe###tudy.net/forum/search.php?me#########################################
lo###tudy.net/forum/search.php?me#########################################
fe###ncle.net/forum/search.php?me#########################################
wh###oss.net/forum/search.php?me#########################################
hi###nce.net/forum/search.php?me#########################################
wh###nce.net/forum/search.php?me#########################################