Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>.exe' = 'C:\System32\<Имя файла>.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\Winder.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Microsoft\VBS1.vbs"
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\VBS1.vbs
- C:\System32\<Имя файла>.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Microsoft\VBS1.vbs
- C:\System32\<Имя файла>.exe
Самоперемещается:
- из <Полный путь к файлу> в %APPDATA%\<Имя файла>.exe
Сетевая активность:
Подключается к:
- 'ny#####ps.nat123.net':7459
- 'ak####2.tl-ip.com':7459
UDP:
- DNS ASK NY#####PS.nat123.net
- DNS ASK ak####2.tl-ip.com
Другое:
Ищет следующие окна:
- ClassName: '#32770' WindowName: 'КУЖµФґ'
- ClassName: '#32770' WindowName: '??????'
