Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{59A20E24-9D61-44e1-AF37-3B9E22A95C69}] 'StubPath' = '%WINDIR%\wsfaks.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %WINDIR%\wsfaks.exe
Запускает на исполнение:
- %PROGRAM_FILES%\Internet Explorer\IEXPLORE.EXE http://ab##t:blank
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\wmsaf.dll
- %WINDIR%\wsfaks.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'az#####.blog.ithome.com.tw':80
TCP:
Запросы HTTP GET:
- az#####.blog.ithome.com.twhttp://azs6668.blog.ithome.com.tw/post/2715/82415
UDP:
- DNS ASK az#####.blog.ithome.com.tw
