Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = 'userinit.exe,"<SYSTEM32>\clientmon.exe"'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Epicbot-Setup.exe
- %TEMP%\is-FOJ55.tmp\Epicbot-Setup.tmp
- C:\a2f1dba0be975a7e51b9d49e1828f5a9126ffab5
- C:\567953\windowsliveupdater.exe
- <SYSTEM32>\clientmon.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\a2f1dba0be975a7e51b9d49e1828f5a9126ffab5
Удаляет следующие файлы:
- %TEMP%\is-FOJ55.tmp\Epicbot-Setup.tmp
Сетевая активность:
Подключается к:
- 'au#####599.no-ip.biz':7777
- 'bl#####mond15.no-ip.org':7777
UDP:
- DNS ASK au#####599.no-ip.biz
- DNS ASK bl#####mond15.no-ip.org
Другое:
Создает и запускает на исполнение:
- '%APPDATA%\Epicbot-Setup.exe'
- '<Полный путь к файлу>'
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /create /sc onlogon /tn "Windows Live" /rl highest /tr "'\567953\windowsliveupdater.exe' /startup" /f
