Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Performance BitLocker Transfer Cache Isolation' = 'C:\xijqvbpb4\i4dbqkys.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Defragmenter Biometric Intelligent Foundation] 'ImagePath' = 'C:\xijqvbpb4\i4dbqkys.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Defragmenter Biometric Intelligent Foundation] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\xijqvbpb4\oedzlnac.exe' "c:\xijqvbpb4\i4dbqkys.exe"
- 'C:\xijqvbpb4\i4dbqkys.exe'
- 'C:\xijqvbpb4\et43xdw2x7rsipxrrglppr.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\xijqvbpb4\i4dbqkys.exe
- C:\xijqvbpb4\oedzlnac.exe
- C:\xijqvbpb4\qhlqxt
- %WINDIR%\xijqvbpb4\ecjtjld1mwr9
- C:\xijqvbpb4\ecjtjld1mwr9
- C:\xijqvbpb4\et43xdw2x7rsipxrrglppr.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\xijqvbpb4\oedzlnac.exe
- C:\xijqvbpb4\i4dbqkys.exe
Удаляет следующие файлы:
- C:\xijqvbpb4\et43xdw2x7rsipxrrglppr.exe
- %WINDIR%\xijqvbpb4\ecjtjld1mwr9
Подменяет следующие файлы:
- %WINDIR%\xijqvbpb4\ecjtjld1mwr9
Сетевая активность:
Подключается к:
- 'ge#####nnacheyanne.net':80
- 'ja#####ineelisabeth.net':80
- 'ge#####nnaelisabeth.net':80
- 'ma#####ttaeglantine.net':80
- 'ch######nneeglantine.net':80
- 'ja#####inecheyanne.net':80
- 'ja#####inegloriana.net':80
- 're#####nnecheyanne.net':80
- 'ch#####belcheyanne.net':80
- 're#####nneelisabeth.net':80
- 'ge#####nnagloriana.net':80
- 'ja#####ineeglantine.net':80
- 'ge#####nnaeglantine.net':80
- 'ch#####annegloriana.net':80
- 'ch######herelisabeth.net':80
- 'te#####ncegloriana.net':80
- 'ch#####phergloriana.net':80
- 'te#####ncecheyanne.net':80
- 'ch#####phercheyanne.net':80
- 'te#####nceelisabeth.net':80
- 'te#####nceeglantine.net':80
- 'ma#####ttaelisabeth.net':80
- 'ch######nneelisabeth.net':80
- 'ma#####ttagloriana.net':80
- 'ch######hereglantine.net':80
- 'ma#####ttacheyanne.net':80
- 'ch#####annecheyanne.net':80
- 'al#####riagloriana.net':80
- 'ch######ellegloriana.net':80
- 'al#####riaeglantine.net':80
- 'ch######ellecheyanne.net':80
- 'al#####riaelisabeth.net':80
- 'ch######elleelisabeth.net':80
- 'ch######elleeglantine.net':80
- 'al#####reaphilander.net':80
- 'er#####udefrederica.net':80
- 'al#####reafrederica.net':80
- 'er#####udebertrand.net':80
- 'al#####reabertrand.net':80
- 'er#####udephilander.net':80
- 'al#####riacheyanne.net':80
- 're#####nneeglantine.net':80
- 'ch#####beleglantine.net':80
- 'be#####ttecheyanne.net':80
- 'ch#####belelisabeth.net':80
- 're#####nnegloriana.net':80
- 'ch#####belgloriana.net':80
- 'ki#####eighcheyanne.net':80
- 'ki#####eighgloriana.net':80
- 'be#####tteeglantine.net':80
- 'ki######igheglantine.net':80
- 'be#####tteelisabeth.net':80
- 'ki######ighelisabeth.net':80
- 'be#####ttegloriana.net':80
TCP:
Запросы HTTP GET:
- http://ge#####nnacheyanne.net/index.php
- http://ja#####ineelisabeth.net/index.php
- http://ge#####nnaelisabeth.net/index.php
- http://ma#####ttaeglantine.net/index.php
- http://ch######nneeglantine.net/index.php
- http://ja#####inecheyanne.net/index.php
- http://ja#####inegloriana.net/index.php
- http://re#####nnecheyanne.net/index.php
- http://ch#####belcheyanne.net/index.php
- http://re#####nneelisabeth.net/index.php
- http://ge#####nnagloriana.net/index.php
- http://ja#####ineeglantine.net/index.php
- http://ge#####nnaeglantine.net/index.php
- http://ch#####annegloriana.net/index.php
- http://ch######herelisabeth.net/index.php
- http://te#####ncegloriana.net/index.php
- http://ch#####phergloriana.net/index.php
- http://te#####ncecheyanne.net/index.php
- http://ch#####phercheyanne.net/index.php
- http://te#####nceelisabeth.net/index.php
- http://te#####nceeglantine.net/index.php
- http://ma#####ttaelisabeth.net/index.php
- http://ch######nneelisabeth.net/index.php
- http://ma#####ttagloriana.net/index.php
- http://ch######hereglantine.net/index.php
- http://ma#####ttacheyanne.net/index.php
- http://ch#####annecheyanne.net/index.php
- http://al#####riagloriana.net/index.php
- http://ch######ellegloriana.net/index.php
- http://al#####riaeglantine.net/index.php
- http://ch######ellecheyanne.net/index.php
- http://al#####riaelisabeth.net/index.php
- http://ch######elleelisabeth.net/index.php
- http://ch######elleeglantine.net/index.php
- http://al#####reaphilander.net/index.php
- http://er#####udefrederica.net/index.php
- http://al#####reafrederica.net/index.php
- http://er#####udebertrand.net/index.php
- http://al#####reabertrand.net/index.php
- http://er#####udephilander.net/index.php
- http://al#####riacheyanne.net/index.php
- http://re#####nneeglantine.net/index.php
- http://ch#####beleglantine.net/index.php
- http://be#####ttecheyanne.net/index.php
- http://ch#####belelisabeth.net/index.php
- http://re#####nnegloriana.net/index.php
- http://ch#####belgloriana.net/index.php
- http://ki#####eighcheyanne.net/index.php
- http://ki#####eighgloriana.net/index.php
- http://be#####tteeglantine.net/index.php
- http://ki######igheglantine.net/index.php
- http://be#####tteelisabeth.net/index.php
- http://ki######ighelisabeth.net/index.php
- http://be#####ttegloriana.net/index.php
UDP:
- DNS ASK ge#####nnacheyanne.net
- DNS ASK ja#####ineelisabeth.net
- DNS ASK ge#####nnaelisabeth.net
- DNS ASK ma#####ttaeglantine.net
- DNS ASK ch######nneeglantine.net
- DNS ASK ja#####inecheyanne.net
- DNS ASK ja#####inegloriana.net
- DNS ASK re#####nnecheyanne.net
- DNS ASK ch#####belcheyanne.net
- DNS ASK re#####nneelisabeth.net
- DNS ASK ge#####nnagloriana.net
- DNS ASK ja#####ineeglantine.net
- DNS ASK ge#####nnaeglantine.net
- DNS ASK ch#####annegloriana.net
- DNS ASK ch######herelisabeth.net
- DNS ASK te#####ncegloriana.net
- DNS ASK ch#####phergloriana.net
- DNS ASK te#####ncecheyanne.net
- DNS ASK ch#####phercheyanne.net
- DNS ASK te#####nceelisabeth.net
- DNS ASK te#####nceeglantine.net
- DNS ASK ma#####ttaelisabeth.net
- DNS ASK ch######nneelisabeth.net
- DNS ASK ma#####ttagloriana.net
- DNS ASK ch######hereglantine.net
- DNS ASK ma#####ttacheyanne.net
- DNS ASK ch#####annecheyanne.net
- DNS ASK al#####riagloriana.net
- DNS ASK ch######ellegloriana.net
- DNS ASK al#####riaeglantine.net
- DNS ASK ch######ellecheyanne.net
- DNS ASK al#####riaelisabeth.net
- DNS ASK ch######elleelisabeth.net
- DNS ASK ch######elleeglantine.net
- DNS ASK al#####reaphilander.net
- DNS ASK er#####udefrederica.net
- DNS ASK al#####reafrederica.net
- DNS ASK er#####udebertrand.net
- DNS ASK al#####reabertrand.net
- DNS ASK er#####udephilander.net
- DNS ASK al#####riacheyanne.net
- DNS ASK re#####nneeglantine.net
- DNS ASK ch#####beleglantine.net
- DNS ASK be#####ttecheyanne.net
- DNS ASK ch#####belelisabeth.net
- DNS ASK re#####nnegloriana.net
- DNS ASK ch#####belgloriana.net
- DNS ASK ki#####eighcheyanne.net
- DNS ASK ki#####eighgloriana.net
- DNS ASK be#####tteeglantine.net
- DNS ASK ki######igheglantine.net
- DNS ASK be#####tteelisabeth.net
- DNS ASK ki######ighelisabeth.net
- DNS ASK be#####ttegloriana.net
