Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\.url
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\autoconv.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\appvreporting\wpr.exe.exe
- %HOMEPATH%\appvreporting\.vbs
Самоудаляется.
Сетевая активность
Подключается к
- 'hu####sparts.com':80
TCP
Запросы HTTP GET
- http://www.cr###sman.sucks/nwc9/?fl##############################################################################################
- http://www.qu#####sgnotstics.com/nwc9/?fl##############################################################################################
- http://www.re####ftwares.com/nwc9/?fl##############################################################################################
UDP
- DNS ASK cr###sman.sucks
- DNS ASK qu#####sgnotstics.com
- DNS ASK re####ftwares.com
- DNS ASK hu####sparts.com
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmstp.exe'
- '%WINDIR%\syswow64\cmd.exe' del "<Полный путь к файлу>"
