Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\Windows Update a534601b.job
- %WINDIR%\Tasks\Windows Update 5ac23e9d.job
- %WINDIR%\Tasks\Windows Update 9ebd5d48.job
- %WINDIR%\Tasks\Windows Update 6ae8eedc.job
- %WINDIR%\Tasks\Windows Update 22074eed.job
- %WINDIR%\Tasks\Windows Update 7e71d810.job
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' "%ALLUSERSPROFILE%\Application Data\aajciiip\dkfhecee.oeb",DllGetClassObject host
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: %ALLUSERSPROFILE%\Application Data\aajciiip\dkfhecee.oeb
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\aajciiip\cec3aeb76b98
- %ALLUSERSPROFILE%\Application Data\aajciiip\dkfhecee.oeb
- %TEMP%\1.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %WINDIR%\Tasks\Windows Update 6ae8eedc.job
- %WINDIR%\Tasks\Windows Update 7e71d810.job
- %WINDIR%\Tasks\Windows Update a534601b.job
- %WINDIR%\Tasks\Windows Update 9ebd5d48.job
- %WINDIR%\Tasks\Windows Update 22074eed.job
- %WINDIR%\Tasks\Windows Update 5ac23e9d.job
Удаляет следующие файлы:
- %ALLUSERSPROFILE%\Application Data\aajciiip\cec3aeb76b98
- %TEMP%\1.tmp
Подменяет следующие файлы:
- %TEMP%\1.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- '18#.#65.200.156':53
- '15#.#0.147.153':53
- 'vp###oter.bit':80
- '10#.69.8.34':53
- 'na##cha.in':443
- '5.###.183.146':53
- '18#.#90.82.182':53
UDP:
- DNS ASK vp###oter.bit
- DNS ASK na##cha.in
Другое:
Ищет следующие окна:
- ClassName: 'SysTreeView32' WindowName: ''
- ClassName: 'd1dcb1a87487' WindowName: 'd6dbb6af73800'
- ClassName: '' WindowName: ''
- ClassName: '' WindowName: ''
