Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Tunneling Problem Keying Virtual Network' = 'C:\rcyaivsv\oikrdxics.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Internet Endpoint Process IKE Grouping Accounts] 'ImagePath' = 'C:\rcyaivsv\oikrdxics.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Internet Endpoint Process IKE Grouping Accounts] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\rcyaivsv\uheqelaumupo.exe' "c:\rcyaivsv\oikrdxics.exe"
- 'C:\rcyaivsv\oikrdxics.exe'
- 'C:\rcyaivsv\uwr2rigazny1zkvley.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\rcyaivsv\oikrdxics.exe
- C:\rcyaivsv\uheqelaumupo.exe
- C:\rcyaivsv\nq8lttioa
- %WINDIR%\rcyaivsv\hsk1wnal
- C:\rcyaivsv\hsk1wnal
- C:\rcyaivsv\uwr2rigazny1zkvley.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\rcyaivsv\uheqelaumupo.exe
- C:\rcyaivsv\oikrdxics.exe
Удаляет следующие файлы:
- C:\rcyaivsv\uwr2rigazny1zkvley.exe
- %WINDIR%\rcyaivsv\hsk1wnal
Подменяет следующие файлы:
- %WINDIR%\rcyaivsv\hsk1wnal
Сетевая активность:
Подключается к:
- '79.##3.139.198':21201
- '10#.#02.79.27':36272
- '41.##2.44.224':45860
- '19#.#7.134.20':44965
- '41.##.10.183':48405
- '10#.#24.230.242':49777
- '11#.#6.137.96':49919
- '77.##8.205.139':22969
- '12#.#60.112.138':27440
- '79.##7.196.121':45688
- '5.##.147.5':26337
- '95.##8.241.220':49038
- '18#.#0.243.3':25741
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
