Техническая информация
Вредоносные функции:
Ищет следующие окна с целью
обхода различных антивирусов:
- ClassName: '____AVP.Root' WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\170937
- <DRIVERS>\b9JKO9062.sys
- %TEMP%\170468
- <DRIVERS>\0iw6V5662.sys
- %TEMP%\171859
- <DRIVERS>\35A56T87Q.sys
- %TEMP%\171406
- <DRIVERS>\83leQo962.sys
- %TEMP%\156093
- <DRIVERS>\g5cxF4442.sys
- %TEMP%\153265
- <DRIVERS>\qT6eTGi82.sys
- %TEMP%\169968
- <DRIVERS>\br1767i82.sys
- %TEMP%\164203
- <DRIVERS>\554644L39.sys
- %TEMP%\174109
- <DRIVERS>\6132B7Y39.sys
- %TEMP%\174750
- <DRIVERS>\t282R9429.sys
- %TEMP%\175203
- <DRIVERS>\733444429.sys
- %TEMP%\173656
- <DRIVERS>\32P363919.sys
- %TEMP%\172312
- <DRIVERS>\b26651999.sys
- %TEMP%\172750
- <DRIVERS>\954P11Q39.sys
- %TEMP%\173203
- <DRIVERS>\688973339.sys
- %TEMP%\135156
- <DRIVERS>\921F6364N.sys
- %TEMP%\127265
- <DRIVERS>\389PQd0XN.sys
- %TEMP%\140250
- <DRIVERS>\18bM897XN.sys
- %TEMP%\137171
- <DRIVERS>\65t77f0c.sys
- %TEMP%\116203
- <DRIVERS>\83841x0c.sys
- %TEMP%\110609
- <DRIVERS>\9H451w0c.sys
- %TEMP%\122906
- <DRIVERS>\69Y76w0c.sys
- %TEMP%\117531
- <DRIVERS>\8464L63SN.sys
- %TEMP%\151593
- <DRIVERS>\0202D63SN.sys
- %TEMP%\152265
- <DRIVERS>\580844442.sys
- %TEMP%\152718
- <DRIVERS>\677E90022.sys
- %TEMP%\150546
- <DRIVERS>\3RUAe09XN.sys
- %TEMP%\141750
- <DRIVERS>\5L10H09XN.sys
- %TEMP%\145203
- <DRIVERS>\6O08443SN.sys
- %TEMP%\148671
- <DRIVERS>\I4k6953SN.sys
Удаляет следующие файлы:
- <SYSTEM32>\Restore\MachineGuid.txt
Самоперемещается:
- из <Полный путь к вирусу> в %TEMP%\1.tmp
Сетевая активность:
Подключается к:
- 'ke######amsphotography.com':80
TCP:
Запросы HTTP GET:
- ke######amsphotography.com/resources/bash_history
UDP:
- DNS ASK ke######amsphotography.com
