Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe,%WINDIR%\notepads\notepads.exe,'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\TermService] 'Start' = '00000002'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\TermService\Parameters] 'ServiceDll' = '%ProgramFiles%\Microsoft DN1\sqlmap.dll'
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие пользовательские процессы:
- svchost.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- %TEMP%\svchost.exe
- %WINDIR%\notepads\notepads.exe
- %TEMP%\notepads.txt
- %TEMP%\notepads.exe
- %ProgramFiles%\microsoft dn1\sqlmap.dll
- %ProgramFiles%\microsoft dn1\rdpwrap.ini
Сетевая активность
Подключается к
- 'co####illights.com':80
- '5.###.225.104':80
TCP
- 'wa#########83runnerhacker.duckdns.org':9040
UDP
- DNS ASK co####illights.com
- DNS ASK wa#########83runnerhacker.duckdns.org
Другое
Создает и запускает на исполнение
- '%WINDIR%\notepads\notepads.exe'
- '%TEMP%\svchost.exe'
- '%TEMP%\notepads.exe'
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /f /v "Shell" /t REG_SZ /d "explorer.exe,%WINDIR%\notepads\notepads.exe,"
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /f /v "Shell" /t REG_SZ /d "explorer.exe,%WINDIR%\notepads\notepads.exe,"
