Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\conhost.exe
Изменения в файловой системе
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://cd#.#oluobl.cn/appi/appi/pp003
- http://ap##.#ame.qq.com/comm-htdocs/ip/get_ip.php
UDP
- DNS ASK cd#.#oluobl.cn
- DNS ASK nk###zaqtkks
- DNS ASK ap##.#ame.qq.com
- DNS ASK sp#.#aidu.com
Другое
Ищет следующие окна
- ClassName: 'ProgMan' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c del /Q /F "<Полный путь к файлу>"' (со скрытым окном)
- '<SYSTEM32>\ipconfig.exe' /flushdns' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\logagent.exe'
- '%WINDIR%\syswow64\cmd.exe' /c del /Q /F "<Полный путь к файлу>"
- '<SYSTEM32>\ipconfig.exe' /flushdns
