Техническая информация
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'uvwssrnboed' = '"%APPDATA%\Microsoft\uolfci.exe"'
- %APPDATA%\microsoft\uolfci.exe
- 'ip#####.#hatismyipaddress.com':80
- http://ca##er.bit/
- DNS ASK ip#####.#hatismyipaddress.com
- DNS ASK ns#.##wservers.ru
- '<SYSTEM32>\nslookup.exe' carder.bit ns1.wowservers.ru' (со скрытым окном)
- '<SYSTEM32>\nslookup.exe' ransomware.bit ns2.wowservers.ru' (со скрытым окном)
- '<SYSTEM32>\nslookup.exe' carder.bit ns2.wowservers.ru' (со скрытым окном)
- '<SYSTEM32>\nslookup.exe' ransomware.bit ns1.wowservers.ru' (со скрытым окном)
- '<SYSTEM32>\nslookup.exe' carder.bit ns1.wowservers.ru
- '<SYSTEM32>\nslookup.exe' ransomware.bit ns2.wowservers.ru
- '<SYSTEM32>\nslookup.exe' carder.bit ns2.wowservers.ru
- '<SYSTEM32>\nslookup.exe' ransomware.bit ns1.wowservers.ru