Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Realtek' = '%WINDIR%\Realtek\Realtek.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Realtek' = '%WINDIR%\Realtek\Realtek.exe'
- [<HKLM>\Software\Wow6432Node\Microsoft\Active Setup\Installed Components\{D4UL1UT2-1237-BXB2-W265-7AR8FE752TVA}] 'StubPath' = '%WINDIR%\Realtek\Realtek.exe restart'
- [<HKLM>\Software\Wow6432Node\Microsoft\Active Setup\Installed Components\{D4UL1UT2-1237-BXB2-W265-7AR8FE752TVA}] 'StubPath' = '%WINDIR%\Realtek\Realtek.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ozqnc.vbs
- %TEMP%\winefender.exe
- %WINDIR%\realtek\realtek.exe
Сетевая активность
UDP
- DNS ASK pa####x.no-ip.biz
- DNS ASK mi###.no-ip.biz
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\OzqNC.vbs"
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe'
