Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\bxakxuhi] 'Startup' = 'NotifyStartup'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\bxakxuhi] 'Dllname' = '%APPDATA%\bxakxuhi.dll'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' "%APPDATA%\bxakxuhi.dll",C6F72B80C5D394d3c8573
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Регистрирует COM-сервер:
- [<HKLM>\SOFTWARE\Classes\CLSID\{ACD89D14-0092-45c9-BD5A-F9ABE128CD65}\InprocServer32] '' = '%APPDATA%\bxakxuhi.dll'
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{A8A88C49-5EB2-4990-A1A2-0876022C854F}' = '{1a,37,61,59,23,52,35,0c,7a,5f,20,17,2f,1e,1a,19,0e,2b,01,73,13,37,13,12...
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1A10' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '{AEBA21FA-782A-4A90-978D-B72164C80120}' = '{1a,37,61,59,23,52,35,0c,7a,5f,20,17,2f,1e,1a,19,0e,2b,01,73,13,37,13,12...
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\bxakxuhi.dlll
- %APPDATA%\bxakxuhi.dll
- %APPDATA%\comctl32.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\bxakxuhi.dlll
Сетевая активность:
Подключается к:
- '89.##9.254.237':80
TCP:
Запросы HTTP POST:
- http://89.##9.254.237/
