Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'wuaucldt' = '%HOMEPATH%\wuaucldt.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'wuaucldt' = '<SYSTEM32>\wuaucldt.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- <SYSTEM32>\wuaucldt.exe
Запускает на исполнение:
- <SYSTEM32>\svchost.exe
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\wuaucldt.exe
- <SYSTEM32>\wuaucldt.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- '76.##4.232.139':443
- '20#.#18.111.122':443
- '65.#4.140.3':443
- '76.##4.232.140':443
- '21#.#86.115.36':443
- '76.##4.232.138':443
- '76.##4.227.59':443
- '76.##4.227.58':443
- 'is##.tup.km.ua':443
- '76.##4.227.60':443
- 'ss####.locaweb.com.br':443
- '16#.1.0.1':443
- '17#.1.0.1':443
- '1.###.104.129':443
- '11#.1.0.1':443
- '65.#.0.1':443
- '33.#.0.1':443
- 'no###.com.ua':443
- 'ra###.com.ua':443
- '20#.#18.170.179':443
- 'www.ml#.co.jp':443
- 'ap###.#eedexpo.co.jp':443
- 'lo##.#ray.com.br':443
- '21#.#2.72.183':443
- '21#.#25.95.245':443
- '19#.#10.163.66':443
- '64.#6.68.36':443
- '20#.#34.223.237':443
- '16#.#6.227.120':443
- '64.#6.68.34':443
- '19#.#14.214.53':443
- '20#.#6.50.168':443
- '20#.#26.91.62':443
- '74.##5.87.69':443
- '20#.#79.38.26':443
- '20#.#92.143.87':443
- '20#.#10.80.35':443
- '20#.#10.80.36':443
- '20#.#18.13.230':443
- '20#.#10.80.34':443
- '61.##0.56.37':443
- '77.##0.110.76':443
- 'fo####.ubuntulinux.jp':443
- '13#.#9.92.68':443
- '19#.#5.154.4':443
UDP:
- DNS ASK www.nr#.co.jp
- DNS ASK www.pi####party.in.ua
- DNS ASK la#.##ganet.org.ua
- DNS ASK www.im#####olheados.com.br
- DNS ASK www.di###er.com.br
- DNS ASK www.ma##ntz.jp
- DNS ASK bl###.#ightphantom.com
- DNS ASK it#####.smartseminar.jp
- DNS ASK se##re.fox
- DNS ASK www.st##e.co.ua
- DNS ASK ms#.com.ua
- DNS ASK ra###.com.ua
- DNS ASK fo####.ubuntulinux.jp
- DNS ASK ss####.locaweb.com.br
- DNS ASK lo##.#ray.com.br
- DNS ASK is##.tup.km.ua
- DNS ASK no###.com.ua
- DNS ASK k.##c.go.jp
- DNS ASK www.bi#####records.com.br
- DNS ASK ap###.#eedexpo.co.jp
- DNS ASK www.ml#.co.jp
- '<IP-адрес в локальной сети>':1048
- '<IP-адрес в локальной сети>':1060
- '<IP-адрес в локальной сети>':1055
- '<IP-адрес в локальной сети>':1041
- '<IP-адрес в локальной сети>':1044
- '<IP-адрес в локальной сети>':1045
- '<IP-адрес в локальной сети>':1046
- '<IP-адрес в локальной сети>':1047
- '<IP-адрес в локальной сети>':1043
- '<IP-адрес в локальной сети>':1052
- '<IP-адрес в локальной сети>':1042
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
