Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Discovery WMI Adaptive Helper Video' = 'C:\wmdmxwwdqis\srofbed.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Transaction Call AuthIP Management Base] 'ImagePath' = 'C:\wmdmxwwdqis\srofbed.exe'
- [<HKLM>\SYSTEM\ControlSet001\Services\Transaction Call AuthIP Management Base] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- 'C:\wmdmxwwdqis\auvcvmokryo.exe' "c:\wmdmxwwdqis\srofbed.exe"
- 'C:\wmdmxwwdqis\srofbed.exe'
- 'C:\wmdmxwwdqis\kw36uzsifei5rkim.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\wmdmxwwdqis\srofbed.exe
- C:\wmdmxwwdqis\auvcvmokryo.exe
- C:\wmdmxwwdqis\p86rm2j5tyef
- %WINDIR%\wmdmxwwdqis\dtczxgt
- C:\wmdmxwwdqis\dtczxgt
- C:\wmdmxwwdqis\kw36uzsifei5rkim.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\wmdmxwwdqis\auvcvmokryo.exe
- C:\wmdmxwwdqis\srofbed.exe
Удаляет следующие файлы:
- C:\wmdmxwwdqis\kw36uzsifei5rkim.exe
- %WINDIR%\wmdmxwwdqis\dtczxgt
Подменяет следующие файлы:
- %WINDIR%\wmdmxwwdqis\dtczxgt
Сетевая активность:
Подключается к:
- '18#.#0.220.30':25741
- '18#.#55.237.75':28122
- '67.##.64.252':27314
- '10#.#02.79.27':36272
- '84.##8.130.85':27132
- '95.##7.243.188':49038
- '77.##7.13.68':30018
- '20#.#36.131.186':52293
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
