Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SelfRunDemo' = '"C:\Users\Public\Downloads\120ECF7BC6F8\ApplicPywizable.exe"'
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\telegram desktop\log_start0.txt
- %APPDATA%\telegram desktop\tdata\d877f783d5d3ef8c\0150386413ccb1630
- %APPDATA%\telegram desktop\tdata\d877f783d5d3ef8c\map1
- %APPDATA%\telegram desktop\tdata\settings1
- %APPDATA%\telegram desktop\tdata\d877f783d5d3ef8c0
- C:\users\public\downloads\a2a.exe
- C:\users\public\downloads\b5h.tmp
- %WINDIR%\temp\fwtsqmfile01.sqm
- C:\users\public\downloads\s5h.lnk
- C:\users\public\downloads\120ecf7bc6f8\applicpywizable.exe
- C:\users\public\downloads\120ecf7bc6f8\python22.dll
- C:\users\public\downloads\120ecf7bc6f8\template.txt
Удаляет следующие файлы
- %APPDATA%\telegram desktop\log_start0.txt
- %APPDATA%\telegram desktop\tdata\settings1
- C:\users\public\downloads\b5h.tmp
- C:\users\public\downloads\s5h.lnk
Изменяет следующие файлы
- %APPDATA%\telegram desktop\tdata\prefix
Подменяет следующие файлы
- %APPDATA%\Telegram Desktop\log.txt
- %APPDATA%\Telegram Desktop\tdata\settings0
- %APPDATA%\telegram desktop\tdata\settings1
Сетевая активность
Подключается к
- 'localhost':49174
- 'ik######c.cdn.bcebos.com':443
- 'td.##legram.org':443
- '14#.#54.167.41':80
- '14#.#54.167.41':443
- 'localhost':49201
- 'go##le.ru':443
- 'oc##.#igicert.cn':80
- '14#.#54.175.100':80
- 'up#####.tdesktop.com':443
- '14#.#54.167.51':80
- '14#.#54.167.50':80
- '14#.#54.167.50':443
- '14#.#54.167.51':443
- 'pi#.##20557670.xyz':80
- '14#.#54.175.100':443
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://oc##.#igicert.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSAUQYBMq2awn1Rh6Doh%2FsBYgFV7gQUA95QNVbRTLtm8KPiGxvDl7I90VUCEAUfDH7dyI268AxQ4oX0ImU%3D
- http://oc##.#igicert.cn/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSs4qvpyL%2F1h8IM3CR%2F4ZfFi8oOlAQUe6P6%2F%2FXVCV0e%2BSr%2FhVPtr0eo13oCEAPOHMw%2FeB3YNgRw9p0qvjY%3D
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Запросы HTTP POST
- http://pi#.##20557670.xyz/J?16########
- http://14#.##4.175.100:80/api via 14#.#54.175.100
- http://14#.##4.167.51:80/api via 14#.#54.167.51
- http://14#.##4.167.50:80/api via 14#.#54.167.50
- http://14#.##4.167.41:80/api via 14#.#54.167.41
Другие
- 'localhost':49175
- '14#.#54.167.51':443
- '14#.#54.167.50':443
- 'up#####.tdesktop.com':443
- 'go##le.ru':443
- '14#.#54.175.100':443
- 'localhost':49202
- '14#.#54.167.41':443
- 'td.##legram.org':443
- 'ik######c.cdn.bcebos.com':443
UDP
- DNS ASK pi#.##20557670.xyz
- DNS ASK up#####.tdesktop.com
- DNS ASK go##le.ru
- DNS ASK dn#.google
- DNS ASK software-download.microsoft.com
- DNS ASK td.##legram.org
- DNS ASK ik######c.cdn.bcebos.com
- DNS ASK oc##.#igicert.cn
- DNS ASK microsoft.com
Другое
Создает и запускает на исполнение
- 'C:\users\public\downloads\a2a.exe' -o -d C:\Users\Public\Downloads\120ECF7BC6F8 C:\Users\Public\Downloads\b5h.tmp
- 'C:\users\public\downloads\120ecf7bc6f8\applicpywizable.exe'
- 'C:\users\public\downloads\a2a.exe' -o -d C:\Users\Public\Downloads\120ECF7BC6F8 C:\Users\Public\Downloads\b5h.tmp' (со скрытым окном)
