Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\Windows media] 'ImagePath' = '%TEMP%\iTpkbsnc.sys'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\fc.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\microsoft\wimserv.exe
- %TEMP%\itpkbsnc.sys
- %WINDIR%\mac.txt
Удаляет следующие файлы
- %TEMP%\itpkbsnc.sys
- %WINDIR%\microsoft\wimserv.exe
Сетевая активность
Подключается к
- 'ap#.#illp.cn':80
TCP
Запросы HTTP GET
- http://47.##0.20.142/index.php/inface/Heart/getConfigDyn?m_###############################################
UDP
- DNS ASK ap#.#illp.cn
- DNS ASK tc#.#illp.cn
- '255.255.255.255':13779
- '255.255.255.255':13881
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\microsoft\wimserv.exe'
- '%WINDIR%\syswow64\cmd.exe' /c del /q %WINDIR%\Microsoft\wimserv.exe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\fc.exe'
- '%WINDIR%\syswow64\cmd.exe' /c del /q %WINDIR%\Microsoft\wimserv.exe
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 2 "%WINDIR%\syswow64\fc.exe"
