Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] ' -$-_6e9' = '"%ALLUSERSPROFILE%\-$-_6e9\ -$-_6e9.exe"'
Вредоносные функции
Загружает файлы и запускает на исполнение.
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\-$-_6e9\bitd2c9.tmp
- %ProgramFiles%\-$-_6e9\libeay32.dll
- %ProgramFiles%\-$-_6e9\ssleay32.dll
- %ProgramFiles%\-$-_6e9\dbghelp.dll
- %ProgramFiles%\-$-_6e9\dump.dmp
- %ProgramFiles%\-$-_6e9\dump2.dmp
- %ProgramFiles%\-$-_6e9\borlndmm.dll
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\-$-_6e9\bitd2c9.tmp
Удаляет следующие файлы
- %ALLUSERSPROFILE%\-$-_6e9\ -$-_6e9.zip
Перемещает следующие файлы
- %ALLUSERSPROFILE%\-$-_6e9\bitd2c9.tmp в %ALLUSERSPROFILE%\-$-_6e9\ -$-_6e9.zip
Сетевая активность
Подключается к
- 'mo#####.##-eu-west-1.amazonaws.com':443
- 'docs.google.com':443
- 'do##########cstext.googleusercontent.com':443
- 'lo####zaip.com.br':443
TCP
- 'mo#####.##-eu-west-1.amazonaws.com':443
- 'docs.google.com':443
- 'do##########cstext.googleusercontent.com':443
- 'lo####zaip.com.br':443
UDP
- DNS ASK mo#####.##-eu-west-1.amazonaws.com
- DNS ASK docs.google.com
- DNS ASK do##########cstext.googleusercontent.com
- DNS ASK lo####zaip.com.br
- DNS ASK go##e.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c echo %charpool:~6,1%
- '<SYSTEM32>\cmd.exe' /c echo %charpool:~14,1%
- '<SYSTEM32>\cmd.exe' /c echo %charpool:~9,1%
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe'
