Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'cred' = 'rundll32 %TEMP%\cred.dll, Main'
Создает или изменяет следующие файлы
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\default.db-journal
- %TEMP%\default.db
- %PROGRAMDATA%\0
- %PROGRAMDATA%\268352e06c\gvsaa.exe
- %TEMP%\cred.dll
Удаляет следующие файлы
- %TEMP%\default.db-journal
- %TEMP%\default.db
Подменяет следующие файлы
- %TEMP%\default.db-journal
- %TEMP%\default.db
Сетевая активность
TCP
Запросы HTTP GET
- http://21#.#.117.64/theCC/cred.dll
Запросы HTTP POST
- http://21#.#.117.64/theCC/index.php
Другое
Создает и запускает на исполнение
- '%PROGRAMDATA%\268352e06c\gvsaa.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /f /v Startup /t REG_SZ /d %PROGRAMDATA%\268352e06c
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /f /v cred /t REG_SZ /d "rundll32 %TEMP%\cred.dll, Main"
- '%WINDIR%\syswow64\rundll32.exe' %TEMP%\cred.dll, Main
Использует альтернативные потоки данных NTFS
