Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'svchost.exe' = '"%APPDATA%\Microsoft\Windows\svchost.exe" -start'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\notepad.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\afcf8637.zeppelin
- %APPDATA%\microsoft\windows\svchost.exe
- %TEMP%\f5932c2d.zeppelin
Удаляет следующие файлы
- %TEMP%\afcf8637.zeppelin
- %TEMP%\f5932c2d.zeppelin
Самоудаляется.
Сетевая активность
Подключается к
- 'ge###tool.com':80
- 'ge###tool.com':443
- 'microsoft.com':80
- 'ip###ger.org':80
- 'ip###ger.org':443
TCP
Другие
- 'ge###tool.com':443
- 'ip###ger.org':443
UDP
- DNS ASK ge###tool.com
- DNS ASK ge###tatool.com
- DNS ASK microsoft.com
- DNS ASK ip###ger.org
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\svchost.exe' -start
Запускает на исполнение
- '%WINDIR%\syswow64\notepad.exe'
