Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Odhbljup' = '%HOMEPATH%\pujlbhdO.url'
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- %HOMEPATH%\odhbljup.exe
- %HOMEPATH%\pujlbhdo.url
Удаляет следующие файлы
- C:\users\public\vbc.exe
Сетевая активность
Подключается к
- '13.##0.31.113':80
- 'on####ve.live.com':443
- 'pr####.#m.files.1drv.com':443
- 'up##oad.com':80
- 'pr#####riamedici.com':80
- 'bu#####raprediction.com':80
- 'tr#####tion-immo.com':80
- 'bl###xpress.com':80
- 'cu##s2.com':80
- 'wh###leyop.xyz':80
- 'ru###ngco.com':80
- 'pw###arch.com':80
- 'he###cide.xyz':80
- 'pr####cgroup.com':80
TCP
Запросы HTTP GET
- http://13.##0.31.113/7009/binso.exe
- http://www.pr#####riamedici.com/hno0/?WB##############################################################################################
- http://www.bu#####raprediction.com/hno0/?WB##############################################################################################
- http://www.tr#####tion-immo.com/hno0/?WB##############################################################################################
- http://www.bl###xpress.com/hno0/?WB##############################################################################################
- http://www.cu##s2.com/hno0/?WB##############################################################################################
- http://www.wh###leyop.xyz/hno0/?WB##############################################################################################
- http://www.ru###ngco.com/hno0/?WB##############################################################################################
- http://www.pw###arch.com/hno0/?WB##############################################################################################
- http://www.he###cide.xyz/hno0/?WB##############################################################################################
- http://www.pr####cgroup.com/hno0/?WB##############################################################################################
Другие
- 'on####ve.live.com':443
- 'pr####.#m.files.1drv.com':443
UDP
- DNS ASK on####ve.live.com
- DNS ASK pr####.#m.files.1drv.com
- DNS ASK up##oad.com
- DNS ASK pr#####riamedici.com
- DNS ASK bu#####raprediction.com
- DNS ASK tr#####tion-immo.com
- DNS ASK bl###xpress.com
- DNS ASK cu##s2.com
- DNS ASK wh###leyop.xyz
- DNS ASK fg###ating.com
- DNS ASK ru###ngco.com
- DNS ASK pw###arch.com
- DNS ASK pr####ariutama.com
- DNS ASK he###cide.xyz
- DNS ASK st####u-miner.com
- DNS ASK pr####cgroup.com
Другое
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '<SYSTEM32>\audiodg.exe'
- '<SYSTEM32>\cmd.exe' del "C:\Users\Public\vbc.exe"
