Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cacls.exe] 'Debugger' = '<SYSTEM32>\svchost.exe'
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\gbywflsei] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\gbywflsei] 'ImagePath' = '%WINDIR%\yngfnfin\lrbilza.exe'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\yngfnfin\lrbilza.exe
Изменяет файл HOSTS.
Самоперемещается
- из <Полный путь к файлу> в %TEMP%\1037828\....\temporaryfile
Сетевая активность
UDP
- DNS ASK aj.###x0x0x0.best
- DNS ASK xs.###x0x0x0.club
- DNS ASK ui.###x0x0x0.xyz
- DNS ASK qb.###c1c1c.best
Другое
Создает и запускает на исполнение
- '%WINDIR%\yngfnfin\lrbilza.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 5 & Start %WINDIR%\yngfnfin\lrbilza.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo Y|cacls <DRIVERS>\etc\hosts /T /D users & echo Y|cacls <DRIVERS>\etc\hosts /T /D administrators & echo Y|cacls <DRIVERS>\etc\hosts /T /D SYSTEM' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 5 & Start %WINDIR%\yngfnfin\lrbilza.exe
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 5
- '%WINDIR%\syswow64\cmd.exe' /c echo Y|cacls <DRIVERS>\etc\hosts /T /D users & echo Y|cacls <DRIVERS>\etc\hosts /T /D administrators & echo Y|cacls <DRIVERS>\etc\hosts /T /D SYSTEM
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" echo Y"
- '%WINDIR%\syswow64\cacls.exe' <DRIVERS>\etc\hosts /T /D users
- '%WINDIR%\syswow64\cacls.exe' <DRIVERS>\etc\hosts /T /D administrators
- '%WINDIR%\syswow64\cacls.exe' <DRIVERS>\etc\hosts /T /D SYSTEM
