Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '11f86284' = '%APPDATA%\WinSys\coresys.exe'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\winsys\coresys.exe
- %APPDATA%\winsys\xcoresys.exe
- %APPDATA%\winsys\log.dat
Сетевая активность
Подключается к
- 'bing.com':443
TCP
Запросы HTTP GET
- http://www.tr####diabycar.com/wp-content/plugins/WPSecurity/load.php
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/75E0ABB6138512271C04F85FDDDE38E4B7242EFE.crt
Запросы HTTP POST
- http://www.fa####amecsam.com/wp-content/plugins/WPSecurity/load.php
- http://www.3-#####nvestment.com/wp-content/plugins/WPSecurity/load.php
- http://www.el###apower.com/wp-content/plugins/WPSecurity/load.php
- http://www.ou####ndigital.com/wp-content/plugins/WPSecurity/load.php
- http://www.ho###agroup.com/wp-content/plugins/WPSecurity/load.php
- http://www.ah##abs.com/wp-content/plugins/WPSecurity/load.php
- http://www.ro###-iks.ru/wp-content/plugins/WPSecurity/load.php
- http://me#####rooms.website/wp-content/plugins/WPSecurity/load.php
- http://www.ge####geous.info/wp-content/plugins/WPSecurity/load.php
- http://di####group.co.in/wp-content/plugins/WPSecurity/load.php
- http://www.mi###spons.se/wp-content/plugins/WPSecurity/load.php
- http://br####hacker.com/wp-content/plugins/WPSecurity/load.php
- http://www.mo####mosbat.com/wp-content/plugins/WPSecurity/load.php
- http://www.at###atik.com/wp-content/plugins/WPSecurity/load.php
- http://www.kh####maithe.com/wp-content/plugins/WPSecurity/load.php
- http://tr####diabycar.com/wp-content/plugins/WPSecurity/load.php
- http://ha###hesabi.com/wp-content/plugins/WPSecurity/load.php
UDP
- DNS ASK fa####amecsam.com
- DNS ASK ha###hesabi.com
- DNS ASK me#####rooms.website
- DNS ASK 3-#####nvestment.com
- DNS ASK el###apower.com
- DNS ASK mu###pital.com
- DNS ASK ou####ndigital.com
- DNS ASK ho###agroup.com
- DNS ASK ah##abs.com
- DNS ASK ro###-iks.ru
- DNS ASK sh##tent.ir
- DNS ASK cl#####experts.co.za
- DNS ASK ge####geous.info
- DNS ASK tr####diabycar.com
- DNS ASK di####group.co.in
- DNS ASK mi###spons.se
- DNS ASK br####hacker.com
- DNS ASK mo####mosbat.com
- DNS ASK at###atik.com
- DNS ASK kh####maithe.com
- DNS ASK google.com
- DNS ASK bing.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\winsys\coresys.exe'
- '%APPDATA%\winsys\xcoresys.exe' --CLIPS
- '%APPDATA%\winsys\xcoresys.exe' --CLIPSS
- '%APPDATA%\winsys\xcoresys.exe' --WALLS
- '%APPDATA%\winsys\xcoresys.exe' --PARSE
- '<SYSTEM32>\cmd.exe' /c type "<Полный путь к файлу>" > "%APPDATA%\WinSys\coresys.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c type "<Полный путь к файлу>" > "%APPDATA%\WinSys\xcoresys.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c pushd %APPDATA%\WinSys & start coresys.exe & popd' (со скрытым окном)
- '%APPDATA%\winsys\xcoresys.exe' --CLIPS' (со скрытым окном)
- '%APPDATA%\winsys\xcoresys.exe' --CLIPSS' (со скрытым окном)
- '%APPDATA%\winsys\xcoresys.exe' --WALLS' (со скрытым окном)
- '%APPDATA%\winsys\xcoresys.exe' --PARSE' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c type "<Полный путь к файлу>" > "%APPDATA%\WinSys\coresys.exe"
- '<SYSTEM32>\cmd.exe' /c type "<Полный путь к файлу>" > "%APPDATA%\WinSys\xcoresys.exe"
- '<SYSTEM32>\cmd.exe' /c pushd %APPDATA%\WinSys & start coresys.exe & popd
