Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{1D476073-5E7F-AD41-B897-60D4A63F43C6}' = '"%APPDATA%\Meqa\pyysyf.exe"'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Создает и запускает на исполнение:
- '%APPDATA%\Meqa\pyysyf.exe'
Внедряет код в
следующие системные процессы:
- <Служебный элемент>
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmpb8addd5d.bat
- <LS_APPDATA>\naug.gym
- %APPDATA%\Meqa\pyysyf.exe
Самоудаляется.
Сетевая активность:
UDP:
- '99.#6.3.38':15247
- '95.##4.100.45':12610
- '75.#.222.103':11577
- '20#.#6.19.19':17865
- '14#.#.213.30':18592
- '75.##.141.163':23063
- '78.##.216.91':22611
- '75.##.224.210':16356
- '18#.#52.42.118':21620
- '20#.#72.243.164':18760
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
