Техническая информация
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\services.exe
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- C:\RECYCLER\S-1-5-18\$2ebe1c2e2a38cb36436c4d1cb8c2630c\@
- C:\RECYCLER\S-1-5-18\$2ebe1c2e2a38cb36436c4d1cb8c2630c\n
- C:\RECYCLER\S-1-5-21-2052111302-484763869-725345543-1003\$2ebe1c2e2a38cb36436c4d1cb8c2630c\n
- <SYSTEM32>\wbem\Performance\WmiApRpl_new.ini
- C:\RECYCLER\S-1-5-21-2052111302-484763869-725345543-1003\$2ebe1c2e2a38cb36436c4d1cb8c2630c\@
Самоудаляется.
Сетевая активность:
Подключается к:
- 'any':80
- 'j.###mind.com':80
TCP:
Запросы HTTP GET:
- any/5699017-3C912481A04E584CDF231C519E1DF857/counter.img?th##########################
- j.###mind.com/app/geoip.js
UDP:
- DNS ASK pz#�ݸ�
- DNS ASK pz#}>�!
- DNS ASK pz#dL�
- DNS ASK pz#H�c
- DNS ASK pz#�g I
- DNS ASK pz#쯮�
- DNS ASK j.###mind.com
- DNS ASK pz#+��
- DNS ASK pz#����
- DNS ASK pz#{g�T
- '86.##0.246.50':16464
- '27.##5.54.48':16464
- '12#.#10.119.52':16464
- '20#.#37.48.52':16464
- '5.##.3.48':16464
- '5.##.208.40':16464
- '11#.#95.86.38':16464
- '94.##6.128.47':16464
- '18#.#54.145.234':16464
- '90.##0.123.75':16464
- '18#.#6.238.74':16464
- '94.##8.80.85':16464
- '18#.#0.52.77':16464
- '19#.#05.124.70':16464
- '2.##.35.60':16464
- '77.##8.199.59':16464
- '17#.#20.25.69':16464
- '18#.#1.67.65':16464
- '24.##6.215.35':16464
- '92.##4.253.254':16464
- '11#.#54.253.254':16464
- '87.##4.253.254':16464
- '88.##4.253.254':16464
- '13#.#54.253.254':16464
- '19#.#54.253.254':16464
- '20#.#54.253.254':16464
- '16#.#54.253.254':16464
- '18#.#54.253.254':16464
- '77.##6.84.24':16464
- '17#.#0.66.20':16464
- '94.##6.98.31':16464
- '18#.#15.69.28':16464
- '96.#0.62.9':16464
- '46.##7.93.254':16464
- '66.##9.161.254':16464
- '17#.#03.99.6':16464
- '95.##.10.253':16464
