Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'System service63' = '%WINDIR%\etb\pokapoka63.exe'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\alg.exe
- <SYSTEM32>\cscript.exe
- <SYSTEM32>\wbem\wmiprvse.exe
- <SYSTEM32>\services.exe
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\ctfmon.exe
- %WINDIR%\Explorer.EXE
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\xud_63.dll
- C:\xud2f.log
- %TEMP%\tmp1.tmp
- <Текущая директория>\nt_hide63.dll
- C:\pok20180302.log
- %WINDIR%\PK-45967439-43543-43F-FDCD-465675345BOB_V62
- %WINDIR%\PK-45967439-43543-43F-FDCD-465675345BOB_V61
Сетевая активность:
Подключается к:
- 'up####.msupdater.com':80
- 'localhost':1041
TCP:
Запросы HTTP GET:
- http://up####.msupdater.com/popsetarray.php?&c###################################
UDP:
- DNS ASK up####.msupdater.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
Запускает на исполнение:
- '%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' -Embedding
