Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Remote Connection Reporting Scheduler Spooler' = '<SYSTEM32>\goixreyzas.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Color User IPsec Collector Web KtmRm Offline] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\erpdtnakjdpr.exe' "<SYSTEM32>\goixreyzas.exe"
- '%WINDIR%\Temp\vyofrkvu2ythl7.exe' -r 22786 tcp
- '%TEMP%\vyofrkvu2urnl7bl6amhz.exe'
- '<SYSTEM32>\goixreyzas.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\zadlurabfizxn\run
- <SYSTEM32>\zadlurabfizxn\rng
- %WINDIR%\Temp\vyofrkvu2ythl7.exe
- <SYSTEM32>\zadlurabfizxn\cfg
- <SYSTEM32>\erpdtnakjdpr.exe
- %TEMP%\vyofrkvu2urnl7bl6amhz.exe
- <SYSTEM32>\zadlurabfizxn\tst
- <SYSTEM32>\goixreyzas.exe
- <SYSTEM32>\zadlurabfizxn\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\erpdtnakjdpr.exe
- <SYSTEM32>\goixreyzas.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\vyofrkvu2ythl7.exe
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'li###reen.net':80
- 'en###sound.net':80
- 'en###green.net':80
- 'en###lift.net':80
- 'li###ift.net':80
- 'mo###lift.net':80
- 'ti###ift.net':80
- 'li###and.net':80
- 'li###ound.net':80
- 'en###hand.net':80
- 'ba###ift.net':80
- 'st###green.net':80
- 'st###lift.net':80
- 'wh###hand.net':80
- 'sa###and.net':80
- 'st###hand.net':80
- 'ba###and.net':80
- 'ba###ound.net':80
- 'ba###reen.net':80
- 'st###sound.net':80
- 'mo###green.net':80
- 'pu###ift.net':80
- 'fr###ylift.net':80
- 'de###and.net':80
- 'de###ound.net':80
- 'sh###hand.net':80
- 'fr###ysound.net':80
- 'pu###and.net':80
- 'pu###ound.net':80
- 'pu###reen.net':80
- 'fr###ygreen.net':80
- 'mo###hand.net':80
- 'ti###and.net':80
- 'ti###ound.net':80
- 'ti###reen.net':80
- 'mo###sound.net':80
- 'de###reen.net':80
- 'sh###sound.net':80
- 'sh###green.net':80
- 'sh###lift.net':80
- 'de###ift.net':80
- 'sa###ound.net':80
- 'fr###yroad.net':80
- 'pu###ail.net':80
- 'pu###oad.net':80
- 'sh###where.net':80
- 'de###here.net':80
- 'pu###here.net':80
- 'fr###ywhere.net':80
- 'fr###ywore.net':80
- 'fr###ymail.net':80
- 'pu###ore.net':80
- 'qu###tell.net':80
- 'we####dayhalf.net':80
- 'so###nder.net':80
- 'ab###ead.net':80
- 'en###guess.net':80
- 'se###sound.net':80
- 'mu###appy.net':80
- 'fa###oat.net':80
- 'mo###rest.net':80
- 'dr####hirteen.net':80
- 'al###road.net':80
- 'lo###and.net':80
- 'so###and.net':80
- 'so###ound.net':80
- 'so###reen.net':80
- 'lo###ound.net':80
- 'sa###reen.net':80
- 'wh###sound.net':80
- 'wh###green.net':80
- 'wh###lift.net':80
- 'sa###ift.net':80
- 'al###wore.net':80
- 'de####erwore.net':80
- 'de####ermail.net':80
- 'de####erroad.net':80
- 'al###mail.net':80
- 'so###ift.net':80
- 'lo###reen.net':80
- 'lo###ift.net':80
- 'al###where.net':80
- 'de####erwhere.net':80
TCP:
Запросы HTTP GET:
- li###reen.net/index.php?me################################################
- en###sound.net/index.php?me################################################
- en###green.net/index.php?me################################################
- en###lift.net/index.php?me################################################
- li###ift.net/index.php?me################################################
- mo###lift.net/index.php?me################################################
- ti###ift.net/index.php?me################################################
- li###and.net/index.php?me################################################
- li###ound.net/index.php?me################################################
- en###hand.net/index.php?me################################################
- ba###ift.net/index.php?me################################################
- st###green.net/index.php?me################################################
- st###lift.net/index.php?me################################################
- wh###hand.net/index.php?me################################################
- sa###and.net/index.php?me################################################
- st###hand.net/index.php?me################################################
- ba###and.net/index.php?me################################################
- ba###ound.net/index.php?me################################################
- ba###reen.net/index.php?me################################################
- st###sound.net/index.php?me################################################
- mo###green.net/index.php?me################################################
- pu###ift.net/index.php?me################################################
- fr###ylift.net/index.php?me################################################
- de###and.net/index.php?me################################################
- de###ound.net/index.php?me################################################
- sh###hand.net/index.php?me################################################
- fr###ysound.net/index.php?me################################################
- pu###and.net/index.php?me################################################
- pu###ound.net/index.php?me################################################
- pu###reen.net/index.php?me################################################
- fr###ygreen.net/index.php?me################################################
- mo###hand.net/index.php?me################################################
- ti###and.net/index.php?me################################################
- ti###ound.net/index.php?me################################################
- ti###reen.net/index.php?me################################################
- mo###sound.net/index.php?me################################################
- de###reen.net/index.php?me################################################
- sh###sound.net/index.php?me################################################
- sh###green.net/index.php?me################################################
- sh###lift.net/index.php?me################################################
- de###ift.net/index.php?me################################################
- sa###ound.net/index.php?me################################################
- fr###yroad.net/index.php?me################################################
- pu###ail.net/index.php?me################################################
- pu###oad.net/index.php?me################################################
- sh###where.net/index.php?me################################################
- de###here.net/index.php?me################################################
- pu###here.net/index.php?me################################################
- fr###ywhere.net/index.php?me################################################
- fr###ywore.net/index.php?me################################################
- fr###ymail.net/index.php?me################################################
- pu###ore.net/index.php?me################################################
- qu###tell.net/index.php?me################################################
- we####dayhalf.net/index.php?me################################################
- so###nder.net/index.php?me################################################
- ab###ead.net/index.php?me################################################
- en###guess.net/index.php?me################################################
- se###sound.net/index.php?me################################################
- mu###appy.net/index.php?me################################################
- fa###oat.net/index.php?me################################################
- mo###rest.net/index.php?me################################################
- dr####hirteen.net/index.php?me################################################
- al###road.net/index.php?me################################################
- lo###and.net/index.php?me################################################
- so###and.net/index.php?me################################################
- so###ound.net/index.php?me################################################
- so###reen.net/index.php?me################################################
- lo###ound.net/index.php?me################################################
- sa###reen.net/index.php?me################################################
- wh###sound.net/index.php?me################################################
- wh###green.net/index.php?me################################################
- wh###lift.net/index.php?me################################################
- sa###ift.net/index.php?me################################################
- al###wore.net/index.php?me################################################
- de####erwore.net/index.php?me################################################
- de####ermail.net/index.php?me################################################
- de####erroad.net/index.php?me################################################
- al###mail.net/index.php?me################################################
- so###ift.net/index.php?me################################################
- lo###reen.net/index.php?me################################################
- lo###ift.net/index.php?me################################################
- al###where.net/index.php?me################################################
- de####erwhere.net/index.php?me################################################
UDP:
- DNS ASK li###reen.net
- DNS ASK en###sound.net
- DNS ASK en###green.net
- DNS ASK en###lift.net
- DNS ASK li###ift.net
- DNS ASK mo###lift.net
- DNS ASK ti###ift.net
- DNS ASK li###and.net
- DNS ASK li###ound.net
- DNS ASK en###hand.net
- DNS ASK ba###and.net
- DNS ASK st###lift.net
- DNS ASK ba###ift.net
- DNS ASK sa###and.net
- DNS ASK sa###ound.net
- DNS ASK wh###hand.net
- DNS ASK ba###ound.net
- DNS ASK st###hand.net
- DNS ASK st###sound.net
- DNS ASK st###green.net
- DNS ASK ba###reen.net
- DNS ASK pu###ift.net
- DNS ASK fr###ylift.net
- DNS ASK de###and.net
- DNS ASK de###ound.net
- DNS ASK sh###hand.net
- DNS ASK fr###ysound.net
- DNS ASK pu###and.net
- DNS ASK pu###ound.net
- DNS ASK pu###reen.net
- DNS ASK fr###ygreen.net
- DNS ASK sh###sound.net
- DNS ASK ti###ound.net
- DNS ASK mo###hand.net
- DNS ASK mo###sound.net
- DNS ASK mo###green.net
- DNS ASK ti###reen.net
- DNS ASK sh###green.net
- DNS ASK de###reen.net
- DNS ASK de###ift.net
- DNS ASK ti###and.net
- DNS ASK sh###lift.net
- DNS ASK fr###yroad.net
- DNS ASK pu###ail.net
- DNS ASK pu###oad.net
- DNS ASK sh###where.net
- DNS ASK de###here.net
- DNS ASK pu###here.net
- DNS ASK fr###ywhere.net
- DNS ASK fr###ywore.net
- DNS ASK fr###ymail.net
- DNS ASK pu###ore.net
- DNS ASK qu###tell.net
- DNS ASK we####dayhalf.net
- DNS ASK so###nder.net
- DNS ASK ab###ead.net
- DNS ASK en###guess.net
- DNS ASK se###sound.net
- DNS ASK mu###appy.net
- DNS ASK fa###oat.net
- DNS ASK mo###rest.net
- DNS ASK dr####hirteen.net
- DNS ASK al###road.net
- DNS ASK lo###and.net
- DNS ASK so###and.net
- DNS ASK so###ound.net
- DNS ASK so###reen.net
- DNS ASK lo###ound.net
- DNS ASK sa###reen.net
- DNS ASK wh###sound.net
- DNS ASK wh###green.net
- DNS ASK wh###lift.net
- DNS ASK sa###ift.net
- DNS ASK al###wore.net
- DNS ASK de####erwore.net
- DNS ASK de####ermail.net
- DNS ASK de####erroad.net
- DNS ASK al###mail.net
- DNS ASK so###ift.net
- DNS ASK lo###reen.net
- DNS ASK lo###ift.net
- DNS ASK al###where.net
- DNS ASK de####erwhere.net
- '23#.#55.255.250':1900
