Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss.exe' = '"%APPDATA%\Microsoft\Windows\csrss.exe" -start'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\notepad.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\9d2635fe.zeppelin
- %APPDATA%\microsoft\windows\csrss.exe
- %TEMP%\c0962ce2.zeppelin
Удаляет следующие файлы
- %TEMP%\9d2635fe.zeppelin
- %TEMP%\c0962ce2.zeppelin
Самоудаляется.
Сетевая активность
Подключается к
- 'ge###tool.com':80
- 'ge###tool.com':443
- 'microsoft.com':80
- 'ip###ger.org':80
- 'ip###ger.org':443
- 'oc##.#ectigo.com':80
TCP
- 'ge###tool.com':443
- 'ip###ger.org':443
UDP
- DNS ASK ge###tool.com
- DNS ASK ge###tatool.com
- DNS ASK microsoft.com
- DNS ASK ip###ger.org
- DNS ASK oc##.#ectigo.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\csrss.exe' -start
Запускает на исполнение
- '%WINDIR%\syswow64\notepad.exe'
