Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\evbnynrw
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- 'C:\cosuv\wegerb\szvmhegn.exe'
- 'C:\cosuv\wegerb\szvmhegn.exe' /C
- 'C:\cosuv\wegerb\szvmhegn.exe' /I evbnynrw
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\explorer.exe
- %WINDIR%\syswow64\mobsync.exe
следующие пользовательские процессы:
- iexplore.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\explorer.exe
- %WINDIR%\syswow64\mobsync.exe
Изменения в файловой системе
Создает следующие файлы
- C:\cosuv\wegerb\szvmhegn.exe
- %APPDATA%\microsoft\hhuwr\gnrhj.dat
- %APPDATA%\microsoft\hhuwr\gnrhj.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://bl##.#okasidev.com/crun20.gif
UDP
- DNS ASK bl##.#okasidev.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\hhuwr\gnrhj.exe'
- '%APPDATA%\microsoft\hhuwr\gnrhj.exe' /C
- 'C:\cosuv\wegerb\szvmhegn.exe' ' (со скрытым окном)
- 'C:\cosuv\wegerb\szvmhegn.exe' /C' (со скрытым окном)
- '%APPDATA%\microsoft\hhuwr\gnrhj.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /RU "NT AUTHORITY\SYSTEM" /tn evbnynrw /tr "\"C:\COsuv\Wegerb\szvMhegn.exe\" /I evbnynrw" /SC ONCE /Z /ST 17:31 /ET 17:43' (со скрытым окном)
- '%APPDATA%\microsoft\hhuwr\gnrhj.exe' /C' (со скрытым окном)
- 'C:\cosuv\wegerb\szvmhegn.exe' /I evbnynrw' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /Create /RU "NT AUTHORITY\SYSTEM" /tn evbnynrw /tr "\"C:\COsuv\Wegerb\szvMhegn.exe\" /I evbnynrw" /SC ONCE /Z /ST 17:31 /ET 17:43
