BackDoor.Fleercivet.14

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f4' = '%APPDATA%\ec525f4.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ec525f' = 'C:\ec525f4\ec525f4.exe'

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\ec525f4.exe

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

блокирует:

Компонент восстановления системы (SR)

Запускает на исполнение:

'<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
'<SYSTEM32>\svchost.exe' netsvcs
'%WINDIR%\explorer.exe'

Внедряет код в

следующие системные процессы:

<SYSTEM32>\svchost.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\ec525f4.exe
C:\ec525f4\ec525f4.exe

Сетевая активность:

Подключается к:

'gr####chools.com.my':80
'su####tive.com.tr':80
'mu###edia.com':80
'st#####rketinsiders.com':80
'kr#######rkonsum.uni-koeln.de':80
'co####security.com':80
'e-###azalar.com':80
'ar##el.ro':80
'en####h.cadpro.vn':80
'co####conduct.fi':80
'ma#####artins.com.br':80
'dh##2.com':80
'ru##ove.us':80
'cz####czajka.com':80
'th#####itualhealth.com':80
'el########presidentielles-france.fr':80
'az####h-azavak.cz':80
'kl#####ndeverleiding.nl':80
'co######ntaire.sante-dz.org':80
'li##co.cc':80
'ip##ddr.es':80
'my####rnalip.com':80
'cu###yip.com':80
'eu##ut.ro':80
'85.##4.90.210':80
'ma##ote.com':80
'bi#####resorguiden.se':80
'pi####istanbul.com':80
'el##son.com':80
'gl#####reevermont.com':80
'qu####lbeauty.com':80

TCP:

Запросы HTTP GET:

http://cu###yip.com/
http://my####rnalip.com/raw
http://ip##ddr.es/

Запросы HTTP POST:

http://su####tive.com.tr/wp-content/themes/pindol/img3.php?m=############
http://mu###edia.com/wp-content/themes/lightweight/img2.php?y=############
http://ar##el.ro/blog/wp-content/themes/Chucky/img5.php?j=############
http://gr####chools.com.my/wp-content/themes/gc/img1.php?f=############
http://co####security.com/wp-content/themes/grizzly/img5.php?r=############
http://e-###azalar.com/wp-content/themes/em/img2.php?d=############
http://st#####rketinsiders.com/wp-content/themes/Impreza/img2.php?z=############
http://en####h.cadpro.vn/images/img3.php?p=############
http://co####conduct.fi/wp-content/themes/niinanV2/img4.php?l=############
http://ma#####artins.com.br/blog/wp-content/themes/marcelmartins/img1.php?g=############
http://dh##2.com/wp-content/themes/lightweight/img4.php?e=############
http://ru##ove.us/wp-content/themes/twentyfifteen/img5.php?j=############
http://cz####czajka.com/wp-content/themes/dt-the7-Theme/img3.php?r=############
http://th#####itualhealth.com/wp-content/themes/lightweight/img4.php?e=############
http://eu##ut.ro/wp-content/uploads/img4.php?x=############
http://el##son.com/wp-content/themes/rttheme18/img1.php?g=############
http://gl#####reevermont.com/wp-content/themes/twentyeleven/img5.php?x=############
http://co######ntaire.sante-dz.org/news/wp-content/themes/sante/img1.php?a=############
http://li##co.cc/img4.php?j=############
http://az####h-azavak.cz/wp-content/themes/pixeled/img1.php?d=############
http://kl#####ndeverleiding.nl/wp-content/themes/Divi/img3.php?a=############
http://bi#####resorguiden.se/wp-content/themes/chic-bank/img3.php?s=############
http://el########presidentielles-france.fr/wp-content/themes/theme1917/img5.php?a=############
http://kr#######rkonsum.uni-koeln.de/wp-content/themes/UltraLight/img4.php?t=############
http://ma##ote.com/blog/wp-content/themes/maptote-com/img5.php?d=############
http://qu####lbeauty.com/wp-content/themes/template2/img4.php?e=############
http://pi####istanbul.com/wp-content/themes/camilla/img1.php?t=############
http://85.##4.90.210/img1.php?k=############