Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'MBDX6TIXO' = '%ProgramFiles(x86)%\Twptlwb\winipbxn08h.exe'
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Удаляет следующие файлы
- C:\users\public\vbc.exe
Сетевая активность
Подключается к
- '19#.#27.173.33':80
- 'fa######nessloansdac.com':80
- 'wq###0476.com':80
- 'we#####intcapital.com':80
- 'ea###ffeeco.com':80
- 'cr###igov.xyz':80
- 'sb###to.info':80
- 'to###sangyo.com':80
- 'ba###sras.com':80
- 'f8##t73.com':80
- 'kh####aoverseas.com':80
- 'ke###-nava.xyz':80
- 'ge###sys.com':80
TCP
Запросы HTTP GET
- http://19#.#27.173.33/p0.exe
- http://www.wq###0476.com/zzun/?1b####################################################################################
- http://www.we#####intcapital.com/zzun/?1b####################################################################################
- http://www.ea###ffeeco.com/zzun/?1b####################################################################################
- http://www.cr###igov.xyz/zzun/?1b####################################################################################
- http://www.sb###to.info/zzun/?1b####################################################################################
- http://www.to###sangyo.com/zzun/?1b####################################################################################
- http://www.ba###sras.com/zzun/?1b####################################################################################
- http://www.f8##t73.com/zzun/?1b##################################################################################################
- http://www.kh####aoverseas.com/zzun/?1b##################################################################################################
- http://www.ke###-nava.xyz/zzun/?1b##################################################################################################
UDP
- DNS ASK fa######nessloansdac.com
- DNS ASK wq###0476.com
- DNS ASK we#####intcapital.com
- DNS ASK ma####safety.net
- DNS ASK ea###ffeeco.com
- DNS ASK cr###igov.xyz
- DNS ASK sb###to.info
- DNS ASK to###sangyo.com
- DNS ASK ba###sras.com
- DNS ASK f8##t73.com
- DNS ASK kh####aoverseas.com
- DNS ASK ke###-nava.xyz
- DNS ASK ge###sys.com
Другое
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\netstat.exe'
- '%WINDIR%\syswow64\cmd.exe' del "C:\Users\Public\vbc.exe"
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
