Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\dumprep.exe' 2896 -dm 7 7 %TEMP%\WER0e8d.dir00\services.exe.hdmp 16325836412027248
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\sysdm.cpl,NoExecuteProcessException <SYSTEM32>\services.exe
- '<SYSTEM32>\services.exe'
- '<SYSTEM32>\dumprep.exe' 2896 -dm 7 7 %TEMP%\WER0e8d.dir00\services.exe.mdmp 16325836412027228
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\services.exe
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\WER0e8d.dir00\services.exe.hdmp
- %TEMP%\WER0e8d.dir00\appcompat.txt
- %TEMP%\WER0e8d.dir00\manifest.txt
- %WINDIR%\Internet Explorer.exe
- %HOMEPATH%\Desktop\Internet Explorer.lnk
- %TEMP%\WER0e8d.dir00\services.exe.mdmp
Сетевая активность:
Подключается к:
- 'au####n1.paipai.com':80
- 'localhost':1037
UDP:
- DNS ASK cf##n.com
- DNS ASK www.br###y168.com
- DNS ASK au####n1.paipai.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: '(null)'
- ClassName: 'MS_WebcheckMonitor' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'DiDaSG' WindowName: '(null)'
- ClassName: 'DiDaGrid' WindowName: '(null)'
- ClassName: 'DiDaViewCtrl' WindowName: '(null)'
