Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent 55814ac771ec0876
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\dhwjhrj
- %TEMP%\b76c.exe
- %TEMP%\c3eb.exe
- %TEMP%\ed8b.exe
- %TEMP%\9f.exe
- %TEMP%\25eb.exe
- %TEMP%\38b1.exe
- %TEMP%\fubby.exe
- %TEMP%\exodusard.exe
- %TEMP%\7766.exe
- %TEMP%\a52b.exe
- %TEMP%\bdea.exe
- %TEMP%\cc6c.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\dhwjhrj
Самоудаляется.
Сетевая активность
Подключается к
- 'fi####oiarjfoi1.xyz':80
- 'rd####ihioh2.xyz':80
- 'sd####klemm3.xyz':80
- 'er####ijhgnn4.xyz':80
- 'ig####fwbwb5.xyz':80
- '19#.#62.246.70':80
- 'te##te.in':443
- '94.##8.245.24':80
- '13#.#81.123.52':12073
- '18#.#01.252.33':28028
- '84.##6.85.12':43549
- '95.##1.152.47':15089
- '45.##.231.145':10991
- 'ap#.ip.sb':443
- 'bu###er.pp.ru':443
TCP
Запросы HTTP GET
- http://ig####fwbwb5.xyz/raccon.exe
- http://ig####fwbwb5.xyz/reestr.exe
Запросы HTTP POST
- http://fi####oiarjfoi1.xyz/
- http://rd####ihioh2.xyz/
- http://sd####klemm3.xyz/
- http://er####ijhgnn4.xyz/
- http://ig####fwbwb5.xyz/
- http://94.##8.245.24/
Другие
- 'te##te.in':443
- '13#.#81.123.52':12073
- '18#.#01.252.33':28028
- '45.##.231.145':10991
- 'bu###er.pp.ru':443
UDP
- DNS ASK fi####oiarjfoi1.xyz
- DNS ASK rd####ihioh2.xyz
- DNS ASK sd####klemm3.xyz
- DNS ASK er####ijhgnn4.xyz
- DNS ASK ig####fwbwb5.xyz
- DNS ASK te##te.in
- DNS ASK ap#.ip.sb
- DNS ASK bu###er.pp.ru
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\b76c.exe'
- '%TEMP%\c3eb.exe'
- '%TEMP%\ed8b.exe'
- '%TEMP%\9f.exe'
- '%TEMP%\25eb.exe'
- '%TEMP%\38b1.exe'
- '%TEMP%\fubby.exe'
- '%TEMP%\exodusard.exe'
- '%TEMP%\7766.exe'
- '%TEMP%\a52b.exe'
- '%TEMP%\bdea.exe'
- '%TEMP%\cc6c.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\E4A3.tmp\E4A4.tmp\E4A5.bat %TEMP%\BDEA.exe"
