Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Vayygdq' = '"%APPDATA%\Microsoft\Windows\Start Menu\Programs\Lnfzcke\Vayygdq.exe"'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'UP-T5HTHUJS' = '%ProgramFiles(x86)%\W5jgdwpox\mfcj8tp9vq8.exe'
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- %APPDATA%\microsoft\windows\start menu\programs\lnfzcke\vayygdq.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Удаляет следующие файлы
- %WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe
Сетевая активность
Подключается к
- '23.##.159.198':80
- '17#.#45.26.174':80
- 'mu####relation.com':80
- 'va##88.club':80
- 'ke####en-web.com':80
- 'xn######nknacker-dlb.com':80
- 'nx##lls.com':80
- 'ra##r.xyz':80
- 'ku###yishi.com':80
- 'ev#####onitsystems.com':80
- 'ma######trologyfates.com':80
TCP
Запросы HTTP GET
- http://23.##.159.198/kubar.exe
- http://17#.#45.26.174/kubar_Uneiaqzw.png
- http://www.mu####relation.com/g36t/?ON#######################################################################################
- http://www.va##88.club/g36t/?ON#######################################################################################
- http://www.ke####en-web.com/g36t/?ON#######################################################################################
- http://www.xn######nknacker-dlb.com/g36t/?ON#######################################################################################
- http://www.nx##lls.com/g36t/?ON#######################################################################################
- http://www.ra##r.xyz/g36t/?ON#####################################################################################################
- http://www.ku###yishi.com/g36t/?ON#####################################################################################################
- http://www.ev#####onitsystems.com/g36t/?ON#####################################################################################################
- http://www.ma######trologyfates.com/g36t/?ON#####################################################################################################
UDP
- DNS ASK st####verflow.com
- DNS ASK mu####relation.com
- DNS ASK va##88.club
- DNS ASK ke####en-web.com
- DNS ASK xn######nknacker-dlb.com
- DNS ASK nx##lls.com
- DNS ASK ra##r.xyz
- DNS ASK ku###yishi.com
- DNS ASK ev#####onitsystems.com
- DNS ASK ma######trologyfates.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c timeout 20' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe' /c timeout 20
- '%WINDIR%\syswow64\timeout.exe' 20
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe'
- '%WINDIR%\syswow64\wlanext.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\MSBuild.exe"
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
