Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Aoev' = '"%APPDATA%\Nakgjel\Aoev.exe"'
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- %APPDATA%\nakgjel\aoev.exe
Удаляет следующие файлы
- %WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe
Сетевая активность
Подключается к
- '10#.#67.84.230':80
- '3.##.247.229':80
- 'ge######lcliente24hrs.net':80
- 'an###iao.com':80
- 'na#####ilverjewelry.com':80
- 'mi######railroadband.com':80
- 'ef####oscore.com':80
TCP
Запросы HTTP GET
- http://10#.#67.84.230/clouddoc/.csrss.exe
- http://3.##.247.229/dash/loader/uploads/bin-crypt_Kyglskpy.png
- http://www.ge######lcliente24hrs.net/cs5r/?Ld##########################################################################################
- http://www.an###iao.com/cs5r/?Ld##########################################################################################
- http://www.na#####ilverjewelry.com/cs5r/?Ld##########################################################################################
- http://www.mi######railroadband.com/cs5r/?Ld##########################################################################################
- http://www.ef####oscore.com/cs5r/?Ld##########################################################################################
UDP
- DNS ASK ge######lcliente24hrs.net
- DNS ASK da######rouprealestate.com
- DNS ASK an###iao.com
- DNS ASK in##t22.com
- DNS ASK na#####ilverjewelry.com
- DNS ASK mi######railroadband.com
- DNS ASK ef####oscore.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c timeout 10' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe' /c timeout 10
- '%WINDIR%\syswow64\timeout.exe' 10
- '%WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe'
- '%WINDIR%\syswow64\control.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exe"
