Техническая информация
Для обеспечения автозапуска и распространения
Изменяет следующие исполняемые системные файлы
- %WINDIR%\serviceprofiles\localservice\appdata\roaming\microsoft\upnp device host\upnphost\udhisapi.dll
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im explorer.exe
- '<SYSTEM32>\taskkill.exe' /f /im svchost.exe
- '<SYSTEM32>\taskkill.exe' /f /im dwm.exe
- '<SYSTEM32>\taskkill.exe' /f /im taskmgr.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\wudfhost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\4c7a.tmp\flash player.bat
- <Текущая директория>\1.mp3
- <Текущая директория>\1.exe
- <Текущая директория>\fox.png
- %TEMP%\27da.tmp\1.bat
Удаляет следующие файлы
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность
TCP
- 'ma##oin.com':443
UDP
- DNS ASK ma##oin.com
- DNS ASK 88.###.#2.163.in-addr.arpa
- '23#.#55.255.250':1900
- 'ff#2::c':1900
- 'localhost':59519
- 'localhost':59015
Другое
Ищет следующие окна
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: '\MSITPro::EventQueue' WindowName: ''
- ClassName: 'Type32_Main_Window' WindowName: ''
- ClassName: 'WMPlayerApp' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\1.exe'
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\4C7A.tmp\Flash Player.bat" "<Полный путь к файлу>""' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\27DA.tmp\1.bat" .\1.exe"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\4C7A.tmp\Flash Player.bat" "<Полный путь к файлу>""
- '%WINDIR%\explorer.exe' https://www.ma##oin.com
- '<SYSTEM32>\net.exe' user user ""
- '<SYSTEM32>\net1.exe' user user ""
- '<SYSTEM32>\net.exe' user user 5456D4FG564D56G5D64GH56D4JHFG56J4F56GJ4564HG564HG5K4HG5656JH56JH46J5564546K5J4K56HJK5JH6JH5456JH564JH556JHK5644K564K56HG4K56GH4K65HGh5645454
- '<SYSTEM32>\net1.exe' user user 5456D4FG564D56G5D64GH56D4JHFG56J4F56GJ4564HG564HG5K4HG5656JH56JH46J5564546K5J4K56HJK5JH6JH5456JH564JH556JHK5644K564K56HG4K56GH4K65HGh5645454
- '%ProgramFiles(x86)%\windows media player\wmplayer.exe' /Play -Embedding
- '<SYSTEM32>\ping.exe' -a 163.32.127.88
- '<SYSTEM32>\svchost.exe' -k DcomLaunch
- '<SYSTEM32>\svchost.exe' -k RPCSS
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\27DA.tmp\1.bat" .\1.exe"
- '<SYSTEM32>\svchost.exe' -k netsvcs
- '<SYSTEM32>\svchost.exe' -k LocalSystemNetworkRestricted
