Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '11f86284' = '%APPDATA%\AudioDG\condlg.exe'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\audiodg\condlg.exe
- %APPDATA%\audiodg\zcondlg.exe
- %APPDATA%\audiodg\log.dat
- %APPDATA%\audiodg\tsk.dat
- %HOMEPATH%\local settings\<INETFILES>\content.ie5\z9pmdpek\dl[1].php
- %HOMEPATH%\local settings\<INETFILES>\content.ie5\z9pmdpek\dl[2].php
- %TEMP%\dac20936.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://wb####istries.org/wp-content/plugins/WPSystem/dl.php?a=#
Запросы HTTP POST
- http://th####nhdanang.com/wp-content/plugins/WPSecurity/load.php
- http://wb####istries.org/wp-content/plugins/WPSecurity/load.php
- http://as####amuba.or.id/wp-content/plugins/WPSecurity/load.php
- http://fi####onesia.com/wp-content/plugins/WPSecurity/load.php
- http://www.is##mwe.org/wp-content/plugins/WPSecurity/load.php
- http://sl###ciados.com/wp-content/plugins/WPSecurity/load.php
- http://www.rb###uza.com/wp-content/plugins/WPSecurity/load.php
- http://sl####zna10tka.pl/wp-content/plugins/WPSecurity/load.php
- http://www.ma##ya.com/wp-content/plugins/WPSecurity/load.php
UDP
- DNS ASK th####nhdanang.com
- DNS ASK wb####istries.org
- DNS ASK as####amuba.or.id
- DNS ASK bi###update.com
- DNS ASK fi####onesia.com
- DNS ASK is##mwe.org
- DNS ASK sl###ciados.com
- DNS ASK rb###uza.com
- DNS ASK sl####zna10tka.pl
- DNS ASK ma##ya.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\audiodg\condlg.exe'
- '%APPDATA%\audiodg\zcondlg.exe' --CLIPS
- '%APPDATA%\audiodg\zcondlg.exe' --CLIPSS
- '%APPDATA%\audiodg\zcondlg.exe' --WALLS
- '%APPDATA%\audiodg\zcondlg.exe' --PARSE
- '<SYSTEM32>\cmd.exe' /c type "<Полный путь к файлу>" > "%APPDATA%\AudioDG\condlg.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c type "<Полный путь к файлу>" > "%APPDATA%\AudioDG\zcondlg.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c pushd %APPDATA%\AudioDG & start condlg.exe & popd' (со скрытым окном)
- '%APPDATA%\audiodg\zcondlg.exe' --CLIPS' (со скрытым окном)
- '%APPDATA%\audiodg\zcondlg.exe' --CLIPSS' (со скрытым окном)
- '%APPDATA%\audiodg\zcondlg.exe' --WALLS' (со скрытым окном)
- '%APPDATA%\audiodg\zcondlg.exe' --PARSE' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c type "<Полный путь к файлу>" > "%APPDATA%\AudioDG\condlg.exe"
- '<SYSTEM32>\cmd.exe' /c type "<Полный путь к файлу>" > "%APPDATA%\AudioDG\zcondlg.exe"
- '<SYSTEM32>\cmd.exe' /c pushd %APPDATA%\AudioDG & start condlg.exe & popd
