Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'mouki' = '<SYSTEM32>\sad3.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'makine' = '<SYSTEM32>\sad3.exe'
- [<HKLM>\Software\Wow6432Node\Microsoft\Active Setup\Installed Components\{4YSAP171-32UF-H276-3A4C-1CQNKX4AV8WK}] 'StubPath' = '<SYSTEM32>\sad3.exe Restart'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\booty.jpeg
- %TEMP%\.exe
- %WINDIR%\syswow64\sad3.exe
- %WINDIR%\syswow64\logs.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\syswow64\logs.dat
Сетевая активность
Подключается к
- 'co####.no-ip.biz':22
UDP
- DNS ASK co####.no-ip.biz
Другое
Создает и запускает на исполнение
- '%TEMP%\.exe'
- '%TEMP%\.exe' ' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe'
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\dw20.exe' -x -s 684
