Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'UDP Subsystem' = '%ProgramFiles(x86)%\UDP Subsystem\udpss.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\updates\ypcmsddecw
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\ypcmsddecw.exe
- %TEMP%\tmp48d2.tmp
- %APPDATA%\36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee\run.dat
- %ProgramFiles(x86)%\udp subsystem\udpss.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\ypcmsddecw.exe
Удаляет следующие файлы
- %TEMP%\tmp48d2.tmp
Сетевая активность
Подключается к
- 'me###1.ddns.net':9003
- 'localhost':9003
UDP
- DNS ASK me###1.ddns.net
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\yPcmsddECw.exe"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\yPcmsddECw.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\yPcmsddECw" /XML "%TEMP%\tmp48D2.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>"
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\yPcmsddECw" /XML "%TEMP%\tmp48D2.tmp"
