Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] '-ZC00FGP' = '%ProgramFiles(x86)%\Xmx6hz\Cookiesd2dlw8lp.exe'
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
Удаляет следующие файлы
- C:\users\public\vbc.exe
Сетевая активность
Подключается к
- '10#.#67.222.220':80
- 'sp#####alteashop.com':80
- 'ka######esandcreations.com':80
- 'xi##uap.com':80
- 'se##sm.info':80
- 'pr######nspinecolorado.com':80
- 'am###rex.com':80
- 'fa###tvddw.club':80
- 'ne###mag.com':80
- 'so#####tosgeniais.com':80
- 'ch###vwd.com':80
- 'be###dsit.com':80
TCP
Запросы HTTP GET
- http://10#.#67.222.220/cloudspace/networksec.exe
- http://www.sp#####alteashop.com/a2es/?Ab#################################################################################
- http://www.ka######esandcreations.com/a2es/?Ab#################################################################################
- http://www.xi##uap.com/a2es/?Ab#################################################################################
- http://www.se##sm.info/a2es/?Ab#################################################################################
- http://www.pr######nspinecolorado.com/a2es/?Ab#################################################################################
- http://www.am###rex.com/a2es/?Ab#################################################################################
- http://www.fa###tvddw.club/a2es/?Ab#################################################################################
- http://www.ne###mag.com/a2es/?Ab#################################################################################
- http://www.so#####tosgeniais.com/a2es/?Ab#################################################################################
- http://www.ch###vwd.com/a2es/?Ab#################################################################################
- http://www.be###dsit.com/a2es/?Ab#################################################################################
UDP
- DNS ASK sp#####alteashop.com
- DNS ASK ka######esandcreations.com
- DNS ASK xi##uap.com
- DNS ASK se##sm.info
- DNS ASK pr######nspinecolorado.com
- DNS ASK jm##y.com
- DNS ASK am###rex.com
- DNS ASK fa###tvddw.club
- DNS ASK ne###mag.com
- DNS ASK so#####tosgeniais.com
- DNS ASK ch###vwd.com
- DNS ASK zo###ting.com
- DNS ASK be###dsit.com
Другое
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\napstat.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
