Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'pmshdkes' = '%APPDATA%\pmshdkes\fyomlice.vbs'
Вредоносные функции:
Внедряет код в
следующие пользовательские процессы:
- wmplayer.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\pmshdkes\mfvcjdqy.vbs
- %APPDATA%\pmshdkes\fyomlice.vbs
- %APPDATA%\pmshdkes\xphtnnkj.exe
- %TEMP%\~TM1.tmp
- %ALLUSERSPROFILE%\Application Data\kdgihdcp.log
- <LS_APPDATA>\wcxnjluo.log
Удаляет следующие файлы:
- <Полный путь к файлу>
- %TEMP%\~TM1.tmp
Сетевая активность:
Подключается к:
- 'yg####dsclptuo.eu':442
- 'pb###gmvknw.eu':442
- 'hm###rstrgid.eu':442
- 'ns###klcmr.eu':442
- 'ho####stfuxpoq.eu':442
- 'gv##jsfi.eu':442
- 've#####wnwwdybmip.eu':442
- 'cb#####dtwrmdtphghq.eu':442
- '12#.#25.114.144':80
- 'me###mqsynot.eu':442
- 'of###qtlmm.eu':442
- 'uc#####kikailwuvg.eu':442
- 're#####cntppxvjiqep.eu':442
- 'yx###ekrf.eu':442
UDP:
- DNS ASK yg####dsclptuo.eu
- DNS ASK pb###gmvknw.eu
- DNS ASK hm###rstrgid.eu
- DNS ASK ns###klcmr.eu
- DNS ASK ho####stfuxpoq.eu
- DNS ASK gv##jsfi.eu
- DNS ASK ve#####wnwwdybmip.eu
- DNS ASK cb#####dtwrmdtphghq.eu
- DNS ASK ba##u.com
- DNS ASK me###mqsynot.eu
- DNS ASK of###qtlmm.eu
- DNS ASK uc#####kikailwuvg.eu
- DNS ASK re#####cntppxvjiqep.eu
- DNS ASK yx###ekrf.eu
Другое:
Создает и запускает на исполнение:
- '<SYSTEM32>\wscript.exe' "%APPDATA%\pmshdkes\mfvcjdqy.vbs"
Запускает на исполнение:
- '%ProgramFiles%\Windows Media Player\wmplayer.exe'
