Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Hwidoxd' = 'C:\Users\Public\Libraries\dxodiwH.url'
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- C:\users\public\libraries\hwidoxd.exe
- C:\users\public\libraries\dxodiwh.url
Сетевая активность
Подключается к
- '19#.#3.212.248':80
- 'ra##aris.in':80
- 'va###mfg.com':80
- 'he####offword.xyz':80
- 'se####kes.online':80
- 'ic###ister.com':80
- 'tr####players.xyz':80
- '20###axpros.com':80
- 'ad###hoob.com':80
- 'ch###umeur.com':80
- 'to####volat.quest':80
TCP
Запросы HTTP GET
- http://19#.#3.212.248/100/vbc.exe
- http://ra##aris.in/BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB/Hwidoxddexaiphqczypepgatipcszyy
- http://www.he####offword.xyz/a2c8/?OP#####################################################################################
- http://www.se####kes.online/a2c8/?OP#####################################################################################
- http://www.ic###ister.com/a2c8/?OP#####################################################################################
- http://www.tr####players.xyz/a2c8/?OP#####################################################################################
- http://www.20###axpros.com/a2c8/?OP#####################################################################################
- http://www.ad###hoob.com/a2c8/?OP#####################################################################################
- http://www.ch###umeur.com/a2c8/?OP#####################################################################################
- http://www.to####volat.quest/a2c8/?OP#####################################################################################
UDP
- DNS ASK ra##aris.in
- DNS ASK va###mfg.com
- DNS ASK he####offword.xyz
- DNS ASK se####kes.online
- DNS ASK ja##mer.net
- DNS ASK we####europe.com
- DNS ASK hd##px.com
- DNS ASK ic###ister.com
- DNS ASK tr####players.xyz
- DNS ASK ef####visors.com
- DNS ASK 69##.online
- DNS ASK 20###axpros.com
- DNS ASK ad###hoob.com
- DNS ASK ch###umeur.com
- DNS ASK to####volat.quest
Другое
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\logagent.exe'
- '%WINDIR%\syswow64\ipconfig.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\SysWOW64\logagent.exe"
