Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\] 'Adobe' = '%TEMP%\Microsoft\Host.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed Components\{EJ02827Q-77BG-1VS4-5QK3-767NB0H8R751}] 'StubPath' = '"%TEMP%\Microsoft\Host.exe"'
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- host.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\d4w4xlikacpevjkk.pdf
- %TEMP%\8qeatjbiquaif0un
- %TEMP%\microsoft\host.exe
- %TEMP%\microsoft\.identifier
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\microsoft\.identifier
Сетевая активность
Подключается к
- 'localhost':1604
Другое
Ищет следующие окна
- ClassName: 'AdobeAcrobat' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\microsoft\host.exe'
Запускает на исполнение
- '%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32.exe' "%TEMP%\D4w4xLIkAcPEvJkk.PDF"
