Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- regsvcs.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\mshta.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\89525060\pasnqad.xl
- %HOMEPATH%\89525060\fovlxu.xls
- %HOMEPATH%\89525060\jexn.txt
- %HOMEPATH%\89525060\wpukc.bin
- %HOMEPATH%\89525060\rdafpd.docx
- %HOMEPATH%\89525060\wjbawsgtj.jpg
- %HOMEPATH%\89525060\lfjfuunk.exe
- %HOMEPATH%\89525060\gfickvmjw.icm
- %HOMEPATH%\89525060\pscpigslnp.txt
- %HOMEPATH%\89525060\qpnu.xl
- %HOMEPATH%\89525060\mrjebq.mp3
- %HOMEPATH%\89525060\rerqtknf.ppt
- %HOMEPATH%\89525060\ehcqs.cpl
- %HOMEPATH%\89525060\obpwhrmfnr.txt
- %HOMEPATH%\89525060\rhiae.docx
- %HOMEPATH%\89525060\aokgd.xl
- %HOMEPATH%\89525060\tjde.cpl
- %HOMEPATH%\89525060\pcnpamoihs.docx
- %HOMEPATH%\89525060\airjm.txt
- %HOMEPATH%\89525060\pdxfkqq.txt
- %HOMEPATH%\89525060\gsdrpgekor.mp3
- %HOMEPATH%\89525060\epbdgvwxr.msc
- %HOMEPATH%\89525060\dkxbrkq.pif
- %HOMEPATH%\89525060\jexutsbkcl.vem
- %HOMEPATH%\temp\pasnqad.xl
- %TEMP%\regsvcs.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %HOMEPATH%\89525060\dkxbrkq.pif
Сетевая активность
TCP
Запросы HTTP POST
- http://18#.#08.182.54/mmc/index.php
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%HOMEPATH%\89525060\dkxbrkq.pif' jexutsbkcl.vem
- '%TEMP%\regsvcs.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\mshta.exe'
