Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'notepaad' = '%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\notepaad\notepaad.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\notepaad\notepaad.exe
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие пользовательские процессы:
- notepaad.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- %TEMP%\notepaad.txt
- %TEMP%\notepaad.exe
Сетевая активность
Подключается к
- 'xn######innkiib6h.xn--90ais':80
TCP
- 'wa#########83runnerhacker.duckdns.org':9040
UDP
- DNS ASK xn######innkiib6h.xn--90ais
- DNS ASK wa#########83runnerhacker.duckdns.org
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\start menu\programs\startup\notepaad\notepaad.exe'
- '%TEMP%\notepaad.exe'
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /f /v "notepaad" /t REG_SZ /d "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\notepaad\notepaad.exe"
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /f /v "notepaad" /t REG_SZ /d "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\notepaad\notepaad.exe"
