Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Removal Enumerator Bus Block Drive Protocol' = '<SYSTEM32>\lfezffnm.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\UPnP Error Peer Program Health] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\rsegrjf.exe' "<SYSTEM32>\lfezffnm.exe"
- '%WINDIR%\Temp\ve9tinfq44azsdqy.exe' -r 28783 tcp
- '%TEMP%\ve9tinfq3r9csdqydgkdsf0i.exe'
- '<SYSTEM32>\lfezffnm.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\rdrkormaxic\run
- <SYSTEM32>\rdrkormaxic\rng
- %WINDIR%\Temp\ve9tinfq44azsdqy.exe
- <SYSTEM32>\rdrkormaxic\cfg
- <SYSTEM32>\rsegrjf.exe
- %TEMP%\ve9tinfq3r9csdqydgkdsf0i.exe
- <SYSTEM32>\rdrkormaxic\tst
- <SYSTEM32>\lfezffnm.exe
- <SYSTEM32>\rdrkormaxic\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\rsegrjf.exe
- <SYSTEM32>\lfezffnm.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\ve9tinfq44azsdqy.exe
- <DRIVERS>\etc\hosts
- %TEMP%\ve9tinfq3r9csdqydgkdsf0i.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'pi###alf.net':80
- 'ab###ate.net':80
- 'pi###ame.net':80
- 'so###alf.net':80
- 'kn###ate.net':80
- 'ab###ame.net':80
- 'kn###ame.net':80
- 'ab###uide.net':80
- 'kn###uide.net':80
- 'si###alf.net':80
- 'ro###alf.net':80
- 'si###ame.net':80
- 'ro###ame.net':80
- 'so###ate.net':80
- 'pi###uide.net':80
- 'so###ame.net':80
- 'pi###ate.net':80
- 'so###uide.net':80
- 'th###only.net':80
- 'lo###olor.net':80
- 'dr###feel.net':80
- 'lo###nly.net':80
- 'th###color.net':80
- 'af###sllc.com':80
- 'ri###nstorm.net':80
- 'de###lxc.com':80
- 'be##lxc.com':80
- 'wi###nly.net':80
- 'dr###only.net':80
- 'ab###alf.net':80
- 'kn###alf.net':80
- 'wi###olor.net':80
- 'dr###high.net':80
- 'wi###eel.net':80
- 'dr###color.net':80
- 'wi###igh.net':80
TCP:
Запросы HTTP GET:
- http://pi###alf.net/index.php
- http://ab###ate.net/index.php
- http://pi###ame.net/index.php
- http://so###alf.net/index.php
- http://kn###ate.net/index.php
- http://ab###ame.net/index.php
- http://kn###ame.net/index.php
- http://ab###uide.net/index.php
- http://kn###uide.net/index.php
- http://si###alf.net/index.php
- http://ro###alf.net/index.php
- http://si###ame.net/index.php
- http://ro###ame.net/index.php
- http://so###ate.net/index.php
- http://pi###uide.net/index.php
- http://so###ame.net/index.php
- http://pi###ate.net/index.php
- http://so###uide.net/index.php
- http://th###only.net/index.php
- http://lo###olor.net/index.php
- http://dr###feel.net/index.php
- http://lo###nly.net/index.php
- http://th###color.net/index.php
- http://af###sllc.com/index.php
- http://ri###nstorm.net/index.php
- http://de###lxc.com/index.php
- http://be##lxc.com/index.php
- http://wi###nly.net/index.php
- http://dr###only.net/index.php
- http://ab###alf.net/index.php
- http://kn###alf.net/index.php
- http://wi###olor.net/index.php
- http://dr###high.net/index.php
- http://wi###eel.net/index.php
- http://dr###color.net/index.php
- http://wi###igh.net/index.php
UDP:
- DNS ASK pi###alf.net
- DNS ASK ab###ate.net
- DNS ASK pi###ame.net
- DNS ASK so###alf.net
- DNS ASK kn###ate.net
- DNS ASK ab###ame.net
- DNS ASK kn###ame.net
- DNS ASK ab###uide.net
- DNS ASK kn###uide.net
- DNS ASK so###ame.net
- DNS ASK ro###ame.net
- DNS ASK si###alf.net
- DNS ASK ro###uide.net
- DNS ASK si###ame.net
- DNS ASK ro###alf.net
- DNS ASK so###uide.net
- DNS ASK pi###uide.net
- DNS ASK so###ate.net
- DNS ASK pi###ate.net
- DNS ASK th###only.net
- DNS ASK lo###olor.net
- DNS ASK dr###feel.net
- DNS ASK lo###nly.net
- DNS ASK th###color.net
- DNS ASK af###sllc.com
- DNS ASK ri###nstorm.net
- DNS ASK de###lxc.com
- DNS ASK be##lxc.com
- DNS ASK wi###nly.net
- DNS ASK dr###only.net
- DNS ASK ab###alf.net
- DNS ASK kn###alf.net
- DNS ASK wi###olor.net
- DNS ASK dr###high.net
- DNS ASK wi###eel.net
- DNS ASK dr###color.net
- DNS ASK wi###igh.net
- '23#.#55.255.250':1900
