Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DisableNotifications' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
блокирует:
- Центр обеспечения безопасности (Security Center)
Запускает на исполнение:
- '<LS_APPDATA>\xrc.exe' -gav <Полный путь к файлу>
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\2uk67pt227ow1c80w8mf060k0iqg3xc1pex7kb5n
- %HOMEPATH%\Templates\2uk67pt227ow1c80w8mf060k0iqg3xc1pex7kb5n
- %ALLUSERSPROFILE%\Application Data\2uk67pt227ow1c80w8mf060k0iqg3xc1pex7kb5n
- <LS_APPDATA>\xrc.exe
- <LS_APPDATA>\2uk67pt227ow1c80w8mf060k0iqg3xc1pex7kb5n
Самоудаляется.
Сетевая активность:
Подключается к:
- 'me###okuro.com':80
- 'le###ekuwo.com':80
- 'bo####nyjyjof.com':80
- 'ki####xipowapo.com':80
- 'be###uxac.com':80
- 'ga###anefi.com':80
- 'ty###inok.com':80
- 'fy###egyz.com':80
- 'qa###oril.com':80
- 'di###ijavu.com':80
- 'ke####fademamu.com':80
- 'ni####kuluna.com':80
- 'sy###apubyk.com':80
- 'we###ipuc.com':80
- 'pi####zeseme.com':80
- 'se###ihyt.com':80
- 'ho###omep.com':80
- 'ki####higazem.com':80
- 'vo###utaru.com':80
- 'ny####wuheqe.com':80
- 'zu###uhehok.com':80
- 'fu####gyvupi.com':80
- 'xi###anati.com':80
- 'da###yzav.com':80
- 'lo####rasokiso.com':80
- 'mi###ujysa.com':80
- 'mi###yciq.com':80
TCP:
Запросы HTTP GET:
- http://me###okuro.com/1024000212
- http://le###ekuwo.com/1024000212
- http://bo####nyjyjof.com/1024000212
- http://ki####xipowapo.com/1024000212
- http://be###uxac.com/1024000212
- http://ga###anefi.com/1024000212
- http://ty###inok.com/1024000212
- http://fy###egyz.com/1024000212
- http://qa###oril.com/1024000212
- http://di###ijavu.com/1024000212
- http://ke####fademamu.com/1024000212
- http://ni####kuluna.com/1024000212
- http://sy###apubyk.com/1024000212
- http://we###ipuc.com/1024000212
- http://pi####zeseme.com/1024000212
- http://se###ihyt.com/1024000212
- http://ho###omep.com/1024000212
- http://ki####higazem.com/1024000212
- http://vo###utaru.com/1024000212
- http://ny####wuheqe.com/1024000212
- http://zu###uhehok.com/1024000212
- http://fu####gyvupi.com/1024000212
- http://xi###anati.com/1024000212
- http://da###yzav.com/1024000212
- http://lo####rasokiso.com/1024000212
- http://mi###ujysa.com/1024000212
- http://mi###yciq.com/1024000212
UDP:
- DNS ASK me###okuro.com
- DNS ASK le###ekuwo.com
- DNS ASK bo####nyjyjof.com
- DNS ASK ki####xipowapo.com
- DNS ASK be###uxac.com
- DNS ASK ga###anefi.com
- DNS ASK ty###inok.com
- DNS ASK fy###egyz.com
- DNS ASK qa###oril.com
- DNS ASK di###ijavu.com
- DNS ASK ke####fademamu.com
- DNS ASK ni####kuluna.com
- DNS ASK sy###apubyk.com
- DNS ASK we###ipuc.com
- DNS ASK pi####zeseme.com
- DNS ASK se###ihyt.com
- DNS ASK ho###omep.com
- DNS ASK ki####higazem.com
- DNS ASK vo###utaru.com
- DNS ASK ny####wuheqe.com
- DNS ASK zu###uhehok.com
- DNS ASK fu####gyvupi.com
- DNS ASK xi###anati.com
- DNS ASK da###yzav.com
- DNS ASK lo####rasokiso.com
- DNS ASK mi###ujysa.com
- DNS ASK mi###yciq.com
