Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '8PKXHTYXIL' = '%ProgramFiles(x86)%\Amjalrp\regsvc0x6hz.exe'
Создает или изменяет следующие файлы
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- %APPDATA%\microsoft\windows\start menu\programs\adobe\adobe.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %TEMP%\opg4w.zip
- %TEMP%\sqlite3.def
- %TEMP%\sqlite3.dll
- %TEMP%\db1
Удаляет следующие файлы
- %WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe
Сетевая активность
Подключается к
- '19#.#3.212.243':80
- '17#.#45.26.174':80
- 'st####uppllies.com':80
- 'ru##ng.xyz':80
- 'sq##te.org':80
- 'cl####nkbrand.com':80
- 'ai####ri-fier.com':80
- 'ox##2e0.xyz':80
TCP
Запросы HTTP GET
- http://19#.#3.212.243/LAW.exe
- http://17#.#45.26.174/Cross_C_Ccegvwef.png
- http://www.st####uppllies.com/0wc5/?dn################################################################################
- http://www.ru##ng.xyz/0wc5/?dn################################################################################
- http://www.sq##te.org/2014/sqlite-dll-win32-x86-3080400.zip
- http://www.cl####nkbrand.com/0wc5/?dn################################################################################
- http://www.ai####ri-fier.com/0wc5/?dn################################################################################
- http://www.ox##2e0.xyz/0wc5/?dn################################################################################
- http://www.ea####retail.com/0wc5/?dn################################################################################
UDP
- DNS ASK ta##uis.com
- DNS ASK st####uppllies.com
- DNS ASK sm###vzw.cloud
- DNS ASK ip###000.com
- DNS ASK 16##63.com
- DNS ASK ru##ng.xyz
- DNS ASK sq##te.org
- DNS ASK ge####soonbuy.xyz
- DNS ASK cl####nkbrand.com
- DNS ASK ai####ri-fier.com
- DNS ASK el######facesolutions.com
- DNS ASK xm####gmsnmsc.com
- DNS ASK ox##2e0.xyz
- DNS ASK ea####retail.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -enc UwB0AGEAcgB0AC0AUwBsAGUAZQBwACAALQBTAGUAYwBvAG4AZABzACAAMgAwAA==' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -enc UwB0AGEAcgB0AC0AUwBsAGUAZQBwACAALQBTAGUAYwBvAG4AZABzACAAMgAwAA==
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe'
- '%WINDIR%\syswow64\ipconfig.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\MSBuild.exe"
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
- '%WINDIR%\syswow64\cmd.exe' copy "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data" "%TEMP%\DB1" /V
- '%WINDIR%\syswow64\cmd.exe' copy "%APPDATA%\Opera Software\Opera Stable\Login Data" "%TEMP%\DB1" /V
