Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Skxlgyf' = 'C:\Users\Public\Libraries\fyglxkS.url'
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- C:\users\public\libraries\skxlgyf\skxlgyf.exe
- C:\users\public\libraries\fyglxks.url
- C:\users\public\kdeco.bat
- C:\users\public\uko.bat
- C:\users\public\trast.bat
- C:\users\public\nest
- C:\users\public\nest.bat
Удаляет следующие файлы
- C:\users\public\kdeco.bat
- C:\users\public\uko.bat
- C:\users\public\trast.bat
- C:\users\public\nest.bat
Сетевая активность
Подключается к
- '19#.#6.199.203':80
- 'on####ve.live.com':443
- 'ac####.#n.files.1drv.com':443
- 'nx####igence.com':80
- 'cr####cutfiles.club':80
- 'pe###usf.xyz':80
- 'kr####uoekcd.info':80
- 'in####rimoine.com':80
- 'ca######dentalallies.com':80
- 'my##ti.com':80
TCP
Запросы HTTP GET
- http://www.ne###eanpro.com/ecuu/?BB#########################################################################################
- http://www.my#####delivered.com/ecuu/?BB#########################################################################################
- http://www.mu#######llytransportation.com/ecuu/?BB#########################################################################################
- http://www.po#####elibrairie.com/ecuu/?BB#########################################################################################
- http://www.me##.com/ecuu/?BB#########################################################################################
Другие
- 'on####ve.live.com':443
- 'ac####.#n.files.1drv.com':443
UDP
- DNS ASK on####ve.live.com
- DNS ASK pa#####upatthonkol.com
- DNS ASK ca######dentalallies.com
- DNS ASK po#####elibrairie.com
- DNS ASK mu#######llytransportation.com
- DNS ASK my#####delivered.com
- DNS ASK be####obiech.com
- DNS ASK my##ti.com
- DNS ASK in####rimoine.com
- DNS ASK lg##cz.com
- DNS ASK kr####uoekcd.info
- DNS ASK pe###usf.xyz
- DNS ASK cr####cutfiles.club
- DNS ASK nx####igence.com
- DNS ASK ac####.#n.files.1drv.com
- DNS ASK ne###eanpro.com
- DNS ASK me##.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\Users\Public\Trast.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\Users\Public\nest.bat" "' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\Users\Public\Trast.bat" "
- '%WINDIR%\syswow64\secinit.exe'
- '%WINDIR%\syswow64\cmd.exe' /K C:\Users\Public\UKO.bat
- '%WINDIR%\syswow64\reg.exe' delete hkcu\Environment /v windir /f
- '%WINDIR%\syswow64\reg.exe' add hkcu\Environment /v windir /d "cmd /c start /min C:\Users\Public\KDECO.bat reg delete hkcu\Environment /v windir /f && REM "
- '%WINDIR%\syswow64\schtasks.exe' /Run /TN \Microsoft\Windows\DiskCleanup\SilentCleanup /I
- '%WINDIR%\syswow64\control.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\SysWOW64\secinit.exe"
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\Users\Public\nest.bat" "
