Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'KB01321295.exe' = '"%APPDATA%\KB01321295.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\KB01321295.exe
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cscript.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\exp1.tmp.bat
- %APPDATA%\KB01321295.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- '21#.#6.23.100':8080
- '72.##7.253.106':8080
- '41.##8.5.140':8080
- '21#.#4.194.242':8080
- '20#.#72.252.26':8080
- '83.##8.208.55':8080
- '19#.#1.214.180':8080
- '68.##8.206.179':8080
- '85.##6.179.185':8080
- '87.##0.41.155':8080
- '94.#3.49.51':8080
- '83.##3.134.23':8080
- '21#.#8.12.158':8080
- '31.##.189.212':8080
- '64.##.164.18':8080
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
