Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\updates\udlftyxyy
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- vbc.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- %APPDATA%\udlftyxyy.exe
- %TEMP%\tmp4dd1.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\udlftyxyy.exe
Удаляет следующие файлы
- %TEMP%\tmp4dd1.tmp
- C:\users\public\vbc.exe
Сетевая активность
Подключается к
- '13.##3.35.249':80
- 'de##ikx.icu':80
- 'ir####igginson.com':80
- 'ib###afm.com':80
- 'ch###brief.com':80
- 'is#####utomation.com':80
- 'gn##s.com':80
UDP
- DNS ASK de##ikx.icu
- DNS ASK ir####igginson.com
- DNS ASK sh###asero.com
- DNS ASK ib###afm.com
- DNS ASK ch###brief.com
- DNS ASK bj##tst.com
- DNS ASK cl#######chventurestudios.com
- DNS ASK pd###lebak.com
- DNS ASK sa###aeocr.com
- DNS ASK e-##rvr.com
- DNS ASK is#####utomation.com
- DNS ASK gn##s.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /TN "Updates\UDLFTyXYY" /XML "%TEMP%\tmp4DD1.tmp"' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '<SYSTEM32>\schtasks.exe' /Create /TN "Updates\UDLFTyXYY" /XML "%TEMP%\tmp4DD1.tmp"
- '<SYSTEM32>\msg.exe'
- '<SYSTEM32>\cmd.exe' del "C:\Users\Public\vbc.exe"
