Техническая информация
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\svchost32.exe'
Внедряет код в
следующие пользовательские процессы:
- svchost32.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\svchost32.exe
- %TEMP%\&startupname&.exe
- %TEMP%\tmp1700.tmp
- %APPDATA%\36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee\run.dat
Удаляет следующие файлы
- %TEMP%\tmp1700.tmp
Сетевая активность
Подключается к
- 'el###.awsmppl.com':54777
- 'do####.duckdns.org':54777
TCP
Запросы HTTP GET
- http://18#.#72.110.217/virp/ORDER0001.exe
UDP
- DNS ASK el###.awsmppl.com
- DNS ASK do####.duckdns.org
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\&startupname&" /XML "%TEMP%\tmp1700.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\&startupname&" /XML "%TEMP%\tmp1700.tmp"
