Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent 9f0a92c4c0f82960
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\d47f.tmp
- %APPDATA%\ehfvhwh
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\ehfvhwh
Подменяет следующие файлы
- %ProgramFiles%\UNP\Logs\UpdateNotificationPipeline.001.etl
Сетевая активность
UDP
- DNS ASK go.microsoft.com
- DNS ASK share.microsoft.com
- DNS ASK settings-win.data.microsoft.com
- DNS ASK maps.windows.com
- DNS ASK dl.delivery.mp.microsoft.com
- DNS ASK ar#.msn.com
- DNS ASK re###at35xm.xyz
- DNS ASK im##########-rt-microsoft-com.akamaized.net
- DNS ASK de###ot2cx.club
Другое
Запускает на исполнение
- '<SYSTEM32>\devicecensus.exe' UserCxt
- '<SYSTEM32>\svchost.exe' -k netsvcs -p
