Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Event Video IKE Tunneling Smart' = 'C:\zamxaqacueubqfz\kxrnhyrzt.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Call Socket Protocol Smart Spooler AutoConnect] 'ImagePath' = 'C:\zamxaqacueubqfz\kxrnhyrzt.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Call Socket Protocol Smart Spooler AutoConnect] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\zamxaqacueubqfz\vpdsmfw.exe' "c:\zamxaqacueubqfz\kxrnhyrzt.exe"
- 'C:\zamxaqacueubqfz\kxrnhyrzt.exe'
- 'C:\zamxaqacueubqfz\op2n3mfcgzrpmfmmm.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\zamxaqacueubqfz\kxrnhyrzt.exe
- C:\zamxaqacueubqfz\vpdsmfw.exe
- C:\zamxaqacueubqfz\nrc8garuz
- %WINDIR%\zamxaqacueubqfz\ldfpf8m
- C:\zamxaqacueubqfz\ldfpf8m
- C:\zamxaqacueubqfz\op2n3mfcgzrpmfmmm.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\zamxaqacueubqfz\vpdsmfw.exe
- C:\zamxaqacueubqfz\kxrnhyrzt.exe
Удаляет следующие файлы:
- C:\zamxaqacueubqfz\op2n3mfcgzrpmfmmm.exe
- %WINDIR%\zamxaqacueubqfz\ldfpf8m
Подменяет следующие файлы:
- %WINDIR%\zamxaqacueubqfz\ldfpf8m
Сетевая активность:
Подключается к:
- 'th####hcircle.net':80
- 'fo####measure.net':80
- 'in####semeasure.net':80
- 'ef####afraid.net':80
- 'th####hafraid.net':80
- 'ef####circle.net':80
- 'fo####dinner.net':80
- 'fo####circle.net':80
- 'in####secircle.net':80
- 'wo####easure.net':80
- 'in####sedinner.net':80
- 'fo####afraid.net':80
- 'in####seafraid.net':80
- 'th####hdinner.net':80
- 'su####measure.net':80
- 'wi####dinner.net':80
- 'su####dinner.net':80
- 'ch###afraid.net':80
- 'th###circle.net':80
- 'wi####measure.net':80
- 'wi####afraid.net':80
- 'ef####measure.net':80
- 'th####hmeasure.net':80
- 'ef####dinner.net':80
- 'su####afraid.net':80
- 'wi####circle.net':80
- 'su####circle.net':80
TCP:
Запросы HTTP GET:
- http://th####hcircle.net/index.php
- http://fo####measure.net/index.php
- http://in####semeasure.net/index.php
- http://ef####afraid.net/index.php
- http://th####hafraid.net/index.php
- http://ef####circle.net/index.php
- http://fo####dinner.net/index.php
- http://fo####circle.net/index.php
- http://in####secircle.net/index.php
- http://wo####easure.net/index.php
- http://in####sedinner.net/index.php
- http://fo####afraid.net/index.php
- http://in####seafraid.net/index.php
- http://th####hdinner.net/index.php
- http://su####measure.net/index.php
- http://wi####dinner.net/index.php
- http://su####dinner.net/index.php
- http://ch###afraid.net/index.php
- http://th###circle.net/index.php
- http://wi####measure.net/index.php
- http://wi####afraid.net/index.php
- http://ef####measure.net/index.php
- http://th####hmeasure.net/index.php
- http://ef####dinner.net/index.php
- http://su####afraid.net/index.php
- http://wi####circle.net/index.php
- http://su####circle.net/index.php
UDP:
- DNS ASK th####hcircle.net
- DNS ASK fo####measure.net
- DNS ASK in####semeasure.net
- DNS ASK ef####circle.net
- DNS ASK th####hdinner.net
- DNS ASK ef####afraid.net
- DNS ASK th####hafraid.net
- DNS ASK fo####dinner.net
- DNS ASK in####secircle.net
- DNS ASK wo####easure.net
- DNS ASK re####ermeasure.net
- DNS ASK fo####circle.net
- DNS ASK in####sedinner.net
- DNS ASK fo####afraid.net
- DNS ASK in####seafraid.net
- DNS ASK wi####measure.net
- DNS ASK su####measure.net
- DNS ASK wi####dinner.net
- DNS ASK th###circle.net
- DNS ASK ch###afraid.net
- DNS ASK th###afraid.net
- DNS ASK ch###circle.net
- DNS ASK su####dinner.net
- DNS ASK ef####measure.net
- DNS ASK th####hmeasure.net
- DNS ASK ef####dinner.net
- DNS ASK su####circle.net
- DNS ASK wi####afraid.net
- DNS ASK su####afraid.net
- DNS ASK wi####circle.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
