Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '"%APPDATA%\wImcRIBPIplWtkwd\f75KL0nSz8Xb.exe",explorer.exe'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '"%APPDATA%\wImcRIBPIplWtkwd\SA7AT6DSBFzu.exe",explorer.exe'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '"%APPDATA%\wImcRIBPIplWtkwd\sEYJKtf6yULQ.exe",explorer.exe'
Вредоносные функции:
Внедряет код в
следующие пользовательские процессы:
- Host.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\wImcRIBPIplWtkwd\SA7AT6DSBFzu.exe
- %APPDATA%\Install\.Identifier
- %APPDATA%\wImcRIBPIplWtkwd\f75KL0nSz8Xb.exe
- %APPDATA%\wImcRIBPIplWtkwd\sEYJKtf6yULQ.exe
- <Текущая директория>\.Identifier
- %APPDATA%\Install\Host.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\wImcRIBPIplWtkwd\f75KL0nSz8Xb.exe
- %APPDATA%\wImcRIBPIplWtkwd\SA7AT6DSBFzu.exe
- %APPDATA%\wImcRIBPIplWtkwd\sEYJKtf6yULQ.exe
Удаляет следующие файлы:
- %APPDATA%\Install\Host.exe
Сетевая активность:
Подключается к:
- 'ph#######es.chickenkiller.com':10001
UDP:
- DNS ASK ph#######es.chickenkiller.com
Другое:
Создает и запускает на исполнение:
- '%APPDATA%\Install\Host.exe'
- '%APPDATA%\Install\Host.exe' -m <Полный путь к файлу>
- '<Полный путь к файлу>'
