Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Cryptographic Services Disk Config' = '%APPDATA%\nhctslf\bgbfxvzoc.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\nhctslf\zghtbrc.exe' "%APPDATA%\nhctslf\bgbfxvzoc.exe"
- '%APPDATA%\nhctslf\bgbfxvzoc.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\nhctslf\bgbfxvzoc.sywq
- %APPDATA%\nhctslf\zghtbrc.exe
- %APPDATA%\nhctslf\bgbfxvzoc.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\nhctslf\bgbfxvzoc.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- 'fa###yabove.net':80
- 'ch####enabove.net':80
- 'fa####shoulder.net':80
- 'ch#####nshoulder.net':80
- 'fa###yuntil.net':80
- 'pi####efinger.net':80
- 'ci#####teshoulder.net':80
- 'ch####enuntil.net':80
- 'ci####ttefinger.net':80
- 'ei####shoulder.net':80
- 'en####habove.net':80
- 'ei####finger.net':80
- 'en####hshoulder.net':80
- 'ei###rabove.net':80
- 'fa####finger.net':80
- 'ch####enfinger.net':80
- 'en####huntil.net':80
- 'ei###runtil.net':80
- 'th###huntil.net':80
- 'fi###euntil.net':80
- 'th###habove.net':80
- 'fi###eabove.net':80
- 'ri###finger.net':80
- 'wh####rshoulder.net':80
- 'ri###above.net':80
- 'wh####rfinger.net':80
- 'ri####houlder.net':80
- 'pi####eabove.net':80
- 'ci####tteuntil.net':80
- 'pi####eshoulder.net':80
- 'ci####tteabove.net':80
- 'pi####euntil.net':80
- 'th####shoulder.net':80
- 'fi####shoulder.net':80
- 'th####finger.net':80
- 'fi####finger.net':80
TCP:
Запросы HTTP GET:
- fa###yabove.net/index.php?em#########################################
- ch####enabove.net/index.php?em#########################################
- fa####shoulder.net/index.php?em#########################################
- ch#####nshoulder.net/index.php?em#########################################
- fa###yuntil.net/index.php?em#########################################
- pi####efinger.net/index.php?em#########################################
- ci#####teshoulder.net/index.php?em#########################################
- ch####enuntil.net/index.php?em#########################################
- ci####ttefinger.net/index.php?em#########################################
- ei####shoulder.net/index.php?em#########################################
- en####habove.net/index.php?em#########################################
- ei####finger.net/index.php?em#########################################
- en####hshoulder.net/index.php?em#########################################
- ei###rabove.net/index.php?em#########################################
- fa####finger.net/index.php?em#########################################
- ch####enfinger.net/index.php?em#########################################
- en####huntil.net/index.php?em#########################################
- ei###runtil.net/index.php?em#########################################
- th###huntil.net/index.php?em#########################################
- fi###euntil.net/index.php?em#########################################
- th###habove.net/index.php?em#########################################
- fi###eabove.net/index.php?em#########################################
- ri###finger.net/index.php?em#########################################
- wh####rshoulder.net/index.php?em#########################################
- ri###above.net/index.php?em#########################################
- wh####rfinger.net/index.php?em#########################################
- ri####houlder.net/index.php?em#########################################
- pi####eabove.net/index.php?em#########################################
- ci####tteuntil.net/index.php?em#########################################
- pi####eshoulder.net/index.php?em#########################################
- ci####tteabove.net/index.php?em#########################################
- pi####euntil.net/index.php?em#########################################
- th####shoulder.net/index.php?em#########################################
- fi####shoulder.net/index.php?em#########################################
- th####finger.net/index.php?em#########################################
- fi####finger.net/index.php?em#########################################
UDP:
- DNS ASK ch#####nshoulder.net
- DNS ASK fa###yabove.net
- DNS ASK ch####enfinger.net
- DNS ASK fa####shoulder.net
- DNS ASK ch####enabove.net
- DNS ASK ci####ttefinger.net
- DNS ASK pi####efinger.net
- DNS ASK fa###yuntil.net
- DNS ASK ch####enuntil.net
- DNS ASK en####hshoulder.net
- DNS ASK ei####shoulder.net
- DNS ASK en####hfinger.net
- DNS ASK ei####finger.net
- DNS ASK en####habove.net
- DNS ASK ei###runtil.net
- DNS ASK fa####finger.net
- DNS ASK ei###rabove.net
- DNS ASK en####huntil.net
- DNS ASK ci#####teshoulder.net
- DNS ASK th###huntil.net
- DNS ASK fi###euntil.net
- DNS ASK th###habove.net
- DNS ASK fi###eabove.net
- DNS ASK ri###finger.net
- DNS ASK wh####rshoulder.net
- DNS ASK ri###above.net
- DNS ASK wh####rfinger.net
- DNS ASK ri####houlder.net
- DNS ASK pi####eabove.net
- DNS ASK ci####tteuntil.net
- DNS ASK pi####eshoulder.net
- DNS ASK ci####tteabove.net
- DNS ASK pi####euntil.net
- DNS ASK th####shoulder.net
- DNS ASK fi####shoulder.net
- DNS ASK th####finger.net
- DNS ASK fi####finger.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
