Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '<Полный путь к файлу>'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '47.110.197.38'
- Изменяет DNS-сервер на '114.114.114.114'
Изменения в файловой системе
Создает следующие файлы
- C:\lopww\lopwwb\2461837.exe
- C:\lopww\lopwwb\2461837.txt
- C:\lopww\lopwwa\2461837.lnk
Удаляет следующие файлы
- C:\lopww\lopwwa\2461837.lnk
- C:\lopww\lopwwb\2461837.exe
- C:\lopww\lopwwb\2461837.txt
Сетевая активность
Подключается к
- 'qq########37759.file.myqcloud.com':80
UDP
- DNS ASK qq########37759.file.myqcloud.com
- DNS ASK 20##dd.vip
- DNS ASK 20##pp.vip
Другое
Изменяет значение AutoConfigURL на 'http://2020246.26448787.top:1983'
Ищет следующие окна
- ClassName: '' WindowName: 'lopwwa'
- ClassName: 'ShellTabWindowClass' WindowName: ''
- ClassName: 'DUIViewWndClassName' WindowName: ''
- ClassName: 'DirectUIHWND' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: '' WindowName: 'C:\lopww\lopwwa'
Создает и запускает на исполнение
- 'C:\lopww\lopwwb\2461837.exe' regedit.exe -s C:\lopww\lopwwb\2461837.txt
Запускает на исполнение
- '%WINDIR%\regedit.exe' -s C:\lopww\lopwwb\2461837.txt
