Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\umnkjxk
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\fetil\giola\ocean.exe'
- 'C:\fetil\giola\ocean.exe' /C
- 'C:\fetil\giola\ocean.exe' /I umnkjxk
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- C:\fetil\giola\ocean.exe
- %APPDATA%\microsoft\qluacwuz\bponxobo.dat
- %APPDATA%\microsoft\qluacwuz\bponxobo.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://oc##nbm.ca/hpplo/555555555.png
UDP
- DNS ASK oc##nbm.ca
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\qluacwuz\bponxobo.exe'
- '%APPDATA%\microsoft\qluacwuz\bponxobo.exe' /C
- 'C:\fetil\giola\ocean.exe' /C' (со скрытым окном)
- '%APPDATA%\microsoft\qluacwuz\bponxobo.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /RU "NT AUTHORITY\SYSTEM" /tn umnkjxk /tr "\"C:\Fetil\Giola\ocean.exe\" /I umnkjxk" /SC ONCE /Z /ST 11:29 /ET 11:41' (со скрытым окном)
- '%APPDATA%\microsoft\qluacwuz\bponxobo.exe' /C' (со скрытым окном)
- 'C:\fetil\giola\ocean.exe' /I umnkjxk' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /Create /RU "NT AUTHORITY\SYSTEM" /tn umnkjxk /tr "\"C:\Fetil\Giola\ocean.exe\" /I umnkjxk" /SC ONCE /Z /ST 11:29 /ET 11:41
- '%WINDIR%\syswow64\explorer.exe'
