Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Schedule] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '8.8.8.8'
- Изменяет DNS-сервер на '223.5.5.5'
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 10
- '<SYSTEM32>\sc.exe' start xWinWpdSrv
- '<SYSTEM32>\cmd.exe' /c sc start xWinWpdSrv&ping 127.0.0.1 -n 10 && del <Полный путь к файлу> >> NUL
Изменения в файловой системе:
Самоудаляется.
Сетевая активность:
Подключается к:
- 'bl##.#ina.com.cn':80
TCP:
Запросы HTTP GET:
- http:///s/blog_16fb721c50102x6hx.html via bl##.#ina.com.cn
UDP:
- DNS ASK bl##.#ina.com.cn
